公共 Wi‑Fi 别裸连：我怎么用 VPN 把坑踩少点

我最怕的不是网络慢，是那种“连上了但感觉不对”的 Wi‑Fi。

上周在机场，看到一个热点名字和官方几乎一模一样，只多了个下划线。旁边的人连上去刷邮箱、付打车费，动作行云流水。我当时只想说一句：别偷懒。

公共 Wi‑Fi 不是给你信任的。

公共 Wi‑Fi 最爱挖的坑

公共网络的风险不神秘，基本就那几类，只是它们出现得很随意。

• 钓鱼热点（Evil Twin）：名字、信号强度都像真的，你连上之后它再把流量转发出去，你以为自己在上网，其实先“过了一手”。很常见。
• 同网段嗅探和 ARP 欺骗：同一个 Wi‑Fi 里的设备彼此可见，攻击者把自己伪装成网关，你的包可能就改道了。
• DNS 劫持：你输入的是域名，它给你回一个“看起来也能打开”的 IP。页面像，证书不一定像。
• 强制门户（captive portal）乱来：酒店那种弹一个登录页的最常见，有时还会把你的首次请求重定向，老 App 一下就露馅。

你可能会说：现在不是都 HTTPS 吗？问题是，公共 Wi‑Fi 的脏活不只盯着“内容”，它盯的是“机会”。

“我用的是 HTTPS” 也不等于安全

HTTPS 的确把内容加密了，别人没那么容易直接看到你在聊什么、发了什么表单。但现实里，公共 Wi‑Fi 上最恶心人的地方往往在边缘。

比如：有些 App 的图片、统计、更新接口还在走 HTTP，或者证书校验写得很随便；有些 captive portal 会用奇怪的方式劫持首包，让你以为是网站抽风；还有一种更常见的，是会话被偷。

你在咖啡店登录了一个网站，cookie 在你这边是安全的，但如果你中途被诱导点进了一个“长得像登录页”的站，或者 DNS 把你带偏了，你自己把门打开了。真要命。

另外别忘了“暴露面”：就算内容看不到，公共 Wi‑Fi 也能很清楚你在连哪些服务、什么时候连、流量大小怎么变化。对隐私来说，这已经够用了。

VPN 到底帮你挡了什么

我用 VPN 的理由很朴素：把不该让本地网络知道的东西，统统塞进隧道里。

开了 VPN 之后，你的设备到 VPN 服务器之间会建立加密通道。本地的路由器、同网段的陌生人能看到的，通常只剩“你在和某个 IP 通信”，而不是你访问了哪些域名、请求了什么路径。DNS 也可以一起走 VPN，少掉一大块被劫持的空间。

当然，代价也存在。手机走 VPN，尤其地铁、电梯这种网络抖动大的场景，丢包会更明显；有些协议在移动网络上更省电，有些更抗封锁但耗电一点。实践里，我会按场景切。

我自己常用的几种组合，大概是这样（只说取向，不吹玄学）：

• WireGuard：速度和延迟通常很舒服，握手快，移动端体验也稳，缺点是某些网络环境里“特征”比较明显。
• VLESS+REALITY：更偏“能连上”的思路，走得更像正常的 TLS 流量，适合你在酒店、公司这种限制多的地方临时救急。
• Shadowsocks-2022：配置相对直接，生态工具多，但具体好不好用很吃服务端和线路质量。

别纠结“哪个最好”。先保证能稳定连，再谈快。

我挑 VPN，会盯哪些细节

有些 VPN 用起来“感觉很顺”，背后其实是小细节堆出来的。

第一是客户端体验，真的。iOS 上我见过太多人只靠 Shadowrocket 硬扛；Android 这边 V2RayNG、NekoBox、Hiddify 各有脾气；电脑端 Windows、macOS 需要的是别瞎弹窗、别乱改系统代理。路由器党就更现实了，OpenWrt 能不能一键导入、规则分流是否省心，决定了你会不会长期用。

第二是功能别花哨，但要关键的：kill switch（掉线就断网）、分流（只让浏览器和聊天走 VPN）、DNS 走向可控、IPv6 处理别偷懒。这些在 功能说明页面 里通常一眼能看出来，不用靠想象。

第三是售后和透明度。说白了，出问题你能不能快速找到原因。比如订阅怎么续、设备数怎么算、临时换节点怎么操作，这些我更愿意先看一遍 常见问题 再掏钱，省得后面互相折磨。真麻烦。

至于价格，我不会追求最低。稳定、更新快、节点别抽风更重要。想对比的话直接看 套餐与价格 就行。

公共 Wi‑Fi 上我怎么做（以及我会偷懒的地方）

我一般先开 VPN，再点 Wi‑Fi。顺序很重要。

如果是必须登录的 captive portal，我会先用浏览器完成认证，然后立刻开 VPN，把后续流量包起来。遇到那种“开了 VPN 就打不开登录页”的网络，我会临时把 VPN 设成分流，只让系统检测、登录页走直连，别的全走隧道。

还有个小习惯：不在公共 Wi‑Fi 上做关键账号的“首次登录”，尤其是要收验证码、要绑卡的那种。能用蜂窝就用蜂窝。

如果你懒得折腾协议和客户端，我建议直接用 DuduVPN 这种把 WireGuard、VLESS+REALITY 这类东西做成一套的服务，需要开通或续费时，用 Telegram bot 处理也省时间。

最后一个很实用的设置：出门前把系统的“自动加入热点”和“自动加入共享网络”关掉。