VPN 和代理别再混着用

昨晚在咖啡店蹭网，同事把浏览器里那条“代理服务器”一开，说搞定了。网页确实能刷。

五分钟后他开始骂：微信图片发不出去，Steam 登录被风控，游戏还疯狂丢包。

我问他：你开的是代理，还是 VPN？他愣住了。

别把代理当VPN。

代理到底在忙什么

代理（proxy）本质上是“应用帮你转发请求”。你给某个 app（或系统代理）填个 HTTP/HTTPS 或 SOCKS5 地址，它就把流量先丢给那台代理服务器，再由代理服务器去访问目标站点。

好处很直接：轻、快、上手简单。很多时候你只想让浏览器走一条特殊路线，其他软件别动，代理就很好用。Shadowrocket、V2RayNG、NekoBox 这类客户端里，“系统代理 / 手动代理 / PAC”这些选项基本都围着这个思路转。

但代理天生也有几个限制，踩过的人都懂：

• 它通常只管 TCP，遇到 UDP 场景（部分游戏、语音、QUIC）就开始别扭，表现出来就是延迟抖、偶发卡住
• 它很容易“漏”：没走代理的 app 还是直连，你以为自己换了 IP，其实只换了浏览器的
• DNS 往往不跟着走，系统还在用本地运营商 DNS，你的查询记录先暴露了

看场景。

还有一个更现实的问题：很多“免费代理”就是别人家的机器。你把账号密码、Cookie、甚至企业内网域名都交出去，心里得有数。哪怕目标站点用 TLS，加密的是你到目标站点的内容，不代表代理那头没有别的办法做记录，至少元数据它看得很清楚。

VPN 像把整个系统塞进一条隧道

VPN 则是路由层面的事。连上 VPN 后，系统的默认路由会变，很多流量（看你是否开了 split tunneling）都会先进隧道再出去。你在 iOS、Android、macOS、Windows 里看到的那个“VPN”图标，背后就是这一套。

差别立刻就出来了：不用每个 app 单独配；不只是浏览器，Messenger、游戏、更新服务也能一起走。对付“某些网络只盯你出口 IP”和“某些 Wi‑Fi 会乱插广告”的情况，VPN 更省心。

但 VPN 也不是什么“开了就绝对安全”。它只是把你到 VPN 服务器这一段加密了，出了服务器之后怎么走，还是看目标站点有没有 TLS、看你用的 DNS 解析策略、看客户端有没有把 IPv6、WebRTC 之类的洞堵上。

协议上我自己的偏好很明确：

• WireGuard：轻快，移动端耗电也相对友好，切换基站时恢复快，缺点是有些网络环境对 UDP 不太友好
• VLESS+REALITY：在某些复杂网络里更“能活”，配置比 WireGuard 烦一点
• Shadowsocks-2022：更像“加密代理”的升级版，适合想按 app 分流的人，但你得接受它终归不是系统级 VPN 的那种一键覆盖

真不一样。

最容易翻车的点：你以为隐私被保护了

我见过最常见的误解是：开了代理或 VPN，就等于“匿名”。其实你只是把“谁能看到你流量”换了个位置。

在公司网络里，HTTP 代理经常是合规要求的一部分，网关要做审计。你把电脑系统代理指过去，确实能上网，但别指望它替你保密。

在公共 Wi‑Fi 里，VPN 的价值更实在：本地那段更难被旁路嗅探，也能减少被劫持 DNS 的概率。不过你得确认两件事：

1）DNS 走没走隧道。很多客户端有 “DNS over HTTPS / DNS over TLS” 或“远端 DNS”选项，别嫌麻烦，这个经常决定你是不是在“裸奔式连 VPN”。

2）掉线时会不会回落直连。移动网络抖一下很正常，特别是地铁里。没有 kill switch 的话，你以为还在 VPN 里，其实流量已经从本地 IP 出去了。

这部分挺烦的，但只能靠设置和自测。

到底选 VPN 还是代理，我一般按这个思路

我不喜欢用“谁更好”这种问法，没意义。你要的是结果：某个 app 能稳定连、延迟别太离谱、电量别掉得太快。

下面是我给朋友的简化版选择法（不追求完美，但少走弯路）：

• 只想让浏览器看点东西，其他软件保持本地网络：用 HTTP/SOCKS5 代理，配合 PAC 或按域名分流
• 手机常在 4G/5G 和 Wi‑Fi 切换、还要稳定收消息：优先 WireGuard 类 VPN，观察丢包和重连速度
• 需要在复杂网络里保持可用性，且能接受多一点设置成本：考虑 VLESS+REALITY 这类方案
• 家里路由器想全家设备一起走：OpenWrt 上用 WireGuard 最省事，记得给电视盒子留条直连分流，不然投屏容易抽风

就这么简单。

客户端也别纠结太久：iOS 上 Shadowrocket 用着顺手；Android 我更常用 NekoBox 或 Hiddify；Windows/macOS 就看你要不要系统级分流和规则管理。

如果你不想自己折腾协议和节点（我理解，有时只是想赶紧把活干完），可以试试 DuduVPN，他们的入口和订阅做得比较省心，找他们的 Telegram bot https://t.me/duduvpnsbot 就能拿到配置。

连上之后别急着开刷，先用浏览器搜个 dns leak test，再对照一下当前出口 IP 是不是你期望的那一个。