這份 VPN 新手安全指南先回答三個常見問題：帳號密碼不可與其他網站共用，訂閱連結應視為存取憑證保管；即使在公共 Wi-Fi 上啟用加密通道，也不能忽略憑證警告、釣魚頁面與用戶端權限。註冊網路加速服務時，只提供完成帳號與付款所需的資訊，不要在使用者名稱、備註或客服工單中主動填寫真實姓名、住址、工作單位或社群帳號。
安全使用並不是開啟一個開關就結束。完整鏈路包含服務帳號、訂閱網址、用戶端、系統代理或虛擬網卡、DNS 請求、分流規則，以及目標網站本身的 HTTPS 連線。任何一環設定錯誤，都可能導致連線失敗、流量繞過通道或憑證外洩。以下依實際操作順序逐項說明。
帳號、密碼與訂閱連結該如何分開保管
帳號密碼用於登入使用者面板，訂閱連結則讓用戶端讀取線路設定。兩者用途不同，但都可能讓他人取得訂閱使用權限。新手常見的誤區，是以為訂閱連結只是普通網址，可以貼到群組、截圖保存或交給不認識的人協助排查。實際上，許多用戶端會直接讀取連結中的存取識別資訊，並將回傳的節點名稱、伺服器位址、協定參數與驗證資訊寫入本機設定。
帳號密碼不要跨網站重複使用
如果同一組使用者名稱與密碼同時用於電子郵件、論壇、雲端硬碟與網路加速服務，只要其中一個網站發生憑證外洩，其他帳號也可能遭到嘗試登入。應為 OvVPN 設定獨立密碼，並使用可信賴的密碼管理器保存。不要把密碼寫入用戶端的「備註」、「設定名稱」或節點名稱；這些欄位可能隨設定匯出，也可能出現在故障截圖中。
OvVPN 註冊不需要電子郵件地址，使用者名稱與密碼即可完成。使用者名稱不必包含身分資訊，應避免使用真實姓名、證件識別資訊、住址、單位名稱或其他可在不同平台連結身分的內容。忘記密碼後，應透過本站提供的帳號與客服流程處理，不要向陌生人傳送面板截圖或付款紀錄。
訂閱連結屬於可呼叫的憑證
用戶端通常會透過 HTTPS 請求訂閱連結。伺服器驗證連結中的識別資訊後，便會回傳目前帳號可使用的設定。不同用戶端可能顯示為「從 URL 匯入」、「遠端設定」、「訂閱管理」或「設定提供者」，名稱雖然不同，運作方式大致相近：保存網址、定期請求、解析節點並更新本機清單。
訂閱連結不慎傳到公開位置後，只刪除訊息並不足夠，因為連結可能已被複製或快取。較穩妥的做法是停止繼續傳播，進入使用者面板查看是否提供重設入口；若沒有自助入口，請透過本站客服說明「訂閱連結外洩，需要更換憑證」。憑證更新後，請在各裝置刪除舊訂閱並重新匯入，避免舊用戶端持續反覆請求已失效的網址。
- ✅ 帳號使用獨立密碼，並存放在可信賴的密碼管理器中。
- ✅ 訂閱連結只匯入自己控制的裝置與用戶端。
- ✅ 分享記錄與截圖前，檢查 URL、QR Code、驗證字串與使用者名稱。
- ✅ 轉讓或送修裝置前，登出帳號並刪除訂閱設定。
- ❌ 不要將訂閱連結貼到線上轉換網站、公開程式碼儲存庫或聊天群組。
- ❌ 不要讓陌生人透過遠端控制代為匯入設定。
公共 Wi-Fi 的實際風險與 VPN 的防護範圍
機場、飯店、商場與共享辦公空間的無線網路通常由第三方管理。使用者難以確認接入點是否屬於場地方，也無法確認同一區域網路中有哪些裝置。風險主要來自偽造熱點、未加密的本機通訊、惡意 DNS 回應、仿冒強制登入頁，以及使用者忽略瀏覽器憑證警告後主動提交帳號。
VPN 或代理通道建立後，可以加密裝置與所選伺服器之間經過通道傳輸的內容，並改變目標網站看到的出口位址。但通道無法代替使用者辨識釣魚網域，也不會修復目標網站本身的權限設計。若使用者在仿冒頁面輸入帳號，資料仍會透過加密通道準確送至仿冒頁面。安全判斷不能只看狀態列是否顯示「已連線」。
| 情境 | 通道能處理的部分 | 仍需使用者檢查的部分 |
|---|---|---|
| 同一公共網路中的流量觀察 | 加密裝置到線路伺服器之間經過通道傳輸的內容 | 是否有應用程式、DNS 或區域網路通訊繞過通道 |
| 偽造熱點 | 連線成功後，降低中間網路直接讀取通道內容的機會 | 熱點名稱是否可信，登入頁是否要求異常資訊 |
| 釣魚網站 | 不負責判斷頁面真偽 | 網域、憑證、頁面來源與密碼管理器的比對結果 |
| 惡意下載 | 不負責判斷檔案是否可信 | 下載來源、檔案簽章、系統安全提示與安裝權限 |
| 本機共享服務 | 取決於用戶端是否接管相應流量 | 檔案共享、探索服務與區域網路存取是否應關閉 |
公共網路上的建議連線順序
- 確認網路名稱來自場地方的正式說明，不要使用名稱相近但來源不明的接入點。
- 完成網路本身的登入頁操作後，不要在該頁面提交與連線無關的資訊。
- 啟動來源明確的用戶端，選擇線路並等待連線狀態穩定。
- 開啟本站網路檢測，核對出口 IP 與 DNS 是否符合目前線路的預期。
- 接著造訪需要登入的網站，並檢查網域與 HTTPS 憑證提示。
- 結束使用後中斷線路，關閉該無線網路的自動加入功能，並清理不再需要的儲存記錄。
註冊與求助時，不該主動填寫哪些資訊
網路服務所需的資訊，應直接與建立帳號、處理付款及排查故障相關。若註冊頁只要求使用者名稱與密碼，就沒有必要在使用者名稱中附加真實身分。客服排查連線問題通常需要作業系統、用戶端名稱、協定類型、錯誤提示、連線時間範圍與所選地區；這些資訊已足以協助定位多數設定問題。
真實姓名、詳細住址、證件照片、工作單位、社群平台個人頁面、其他網站密碼及完整銀行卡資料，不應寫入一般客服工單。付款頁面若由支付服務商處理，應以頁面明確標示的欄位與用途為準，不要透過聊天訊息補交敏感資料。任何自稱「技術支援」卻要求提供其他網站密碼、匯出密碼庫或關閉系統安全功能的人，都不應繼續配合。
| 排查目標 | 可以提供 | 應遮蔽或避免提交 |
|---|---|---|
| 用戶端無法匯入 | 用戶端名稱、系統版本、錯誤文字、匯入方式 | 完整訂閱 URL、QR Code、驗證字串 |
| 線路無法連線 | 線路地區、協定、發生時間範圍、網路類型 | 帳號密碼、其他網站登入資訊 |
| 網站存取異常 | 目標網域、錯誤頁面、是否啟用分流 | 網頁中的私人對話內容、完整 Cookie |
| 核對付款狀態 | 站內訂單識別碼與頁面顯示狀態 | 完整卡片資料、證件影像、無關交易紀錄 |
記錄也不是天生適合公開的文字。用戶端記錄可能包含伺服器位址、訂閱請求、路由目標、應用程式名稱與本機目錄。提交前先複製到純文字中檢查，不要直接上傳整個設定目錄。若錯誤可用一行提示說明，就沒有必要附上全部執行記錄。
協定名稱不等於完整的安全結論
用戶端清單中常見 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC。它們處理的傳輸方式、驗證方式與網路適應問題並不相同。僅憑協定名稱，無法判斷 DNS 是否進入通道、應用程式是否經過代理、憑證是否正確驗證，也不能取代對用戶端來源與設定內容的檢查。
| 協定 | 主要特徵 | 新手應檢查 |
|---|---|---|
| Shadowsocks | 加密代理協定，通常由系統代理或虛擬網卡模式接管流量 | 用戶端執行模式、DNS 設定，以及未使用系統代理的應用程式是否繞過通道 |
| VMess | 使用身分識別資訊與多種傳輸組合，實際行為取決於完整設定 | 伺服器名稱、傳輸層、安全參數與用戶端相容性 |
| Trojan | 通常結合 TLS 傳輸，依賴正確的網域與憑證驗證 | 不要關閉憑證驗證，核對伺服器名稱與時間設定 |
| VLESS | 輕量驗證協定，保密能力取決於搭配的傳輸安全層 | 核對 TLS 或其他安全傳輸設定，不要把協定名稱當作加密證明 |
| Hysteria2 | 以 QUIC 與 UDP 為基礎，著重高封包遺失網路下的傳輸表現 | 目前網路是否限制 UDP，驗證與憑證參數是否有效 |
| TUIC | 同樣使用 QUIC 與 UDP，支援代理 TCP 與 UDP 流量 | 用戶端版本相容性、UDP 可達性與路由接管範圍 |
匯入訂閱時，應優先使用本站說明中列出的用戶端與取得管道。第三方用戶端是否開放原始碼、是否持續維護，以及是否正確使用系統網路介面，需要分別判斷。不要因為某個用戶端能解析訂閱，就預設它適合處理所有流量。系統代理模式通常只影響遵守代理設定的應用程式；虛擬網卡模式可以涵蓋更多流量，但需要更高的系統權限與正確的路由規則。
IEPL、中轉與直連線路有哪些安全差異
直連表示使用者網路直接連線至目標線路伺服器，路徑較簡單，但跨網路品質較容易受到本地電信業者與國際路由影響。中轉線路會先接入中轉入口，再由內部轉送至出口節點，主要用於調整路徑與連線品質。IEPL 專線通常指利用電信業者專線資源承載部分跨境鏈路，重點同樣在路徑與網路品質。
這些名稱描述的是傳輸路徑，不代表應用程式資料已獲得端對端保護。IEPL 不應被理解為可取代協定加密，直連也不必然表示資料會暴露。實際安全邊界仍取決於用戶端到線路伺服器所使用的協定、憑證驗證、驗證設定，以及線路伺服器到目標網站之間是否使用 HTTPS。
選擇線路時，先確認連線是否穩定、協定是否獲用戶端正確支援，再檢查 DNS 與分流結果。不要只因線路名稱包含「專線」就跳過其他安全檢查。
切換直連、中轉或 IEPL 後，出口地區與 DNS 路徑可能改變。若目標網站保留舊工作階段，短時間內頻繁更換出口也可能觸發網站本身的登入保護。處理時應先中斷目前連線，再選擇目標線路，確認網路檢測結果後繼續使用，不要同時開啟多個會爭用系統代理或虛擬網卡的用戶端。
如何檢查 DNS 洩漏與分流規則
存取網域前，裝置通常需要透過 DNS 將網域名稱解析為位址。若網頁流量進入通道，但 DNS 請求仍由本地網路直接送出，本地網路的解析服務仍可能看到查詢的網域，這通常稱為 DNS 洩漏。常見原因包括用戶端未接管系統 DNS、瀏覽器使用獨立的安全 DNS、系統在解析失敗時回退，或分流規則錯誤地將 DNS 服務放在直連路徑。
檢查時不能只看出口 IP。也應觀察 DNS 伺服器所屬網路是否符合預期，並在切換線路後重新測試。瀏覽器擴充功能、系統級代理、虛擬網卡用戶端與安全軟體都可能修改 DNS 行為。若結果異常，先關閉其他網路工具，只保留一個用戶端，再核對其 DNS 模式與路由選項。
分流規則的判斷順序
- 確認用戶端目前使用的是系統代理模式還是虛擬網卡模式。
- 查看規則是全域代理、依網域分流，還是依位址與應用程式分流。
- 確認 DNS 查詢由哪一側處理，以及解析結果是否繼續遵守相同的路由規則。
- 分別測試應直連的網站與應經由線路的網站，核對出口結果。
- 修改規則後清除舊連線或重新啟動相關應用程式，避免重複使用先前建立的工作階段。
分流不是安全等級開關，而是決定哪些連線走哪條路徑的規則系統。讓本地服務、列印裝置與區域網路檔案共享保持直連可能更方便；將需要國際出口的應用程式導入線路，則可減少不必要的繞行。規則越複雜，就越需要記錄修改原因，避免日後更新用戶端時忘記舊規則。
各平台用戶端的權限與清理方式
Windows 用戶端可能使用系統代理，也可能安裝虛擬網卡驅動程式。系統代理較容易理解，但不遵守系統代理設定的軟體可能直接連線；虛擬網卡涵蓋範圍較廣，卻需要管理員權限來建立介面與路由。退出用戶端後，應確認系統代理已恢復，避免留下指向已停止連接埠的設定。
macOS 與 iOS 通常透過系統提供的網路延伸功能或封包通道介面運作。系統會顯示 VPN 設定授權，使用者應確認提出要求的應用程式就是剛安裝的用戶端。刪除應用程式前，先移除不再使用的設定，避免系統設定中殘留難以辨識的舊項目。
Android 用戶端通常透過系統 VPN 服務接管流量。系統狀態區域會提示通道正在運作，部分裝置還提供「一律開啟」或封鎖未經通道連線的選項。啟用這些限制前，應確認用戶端能在目前網路正常啟動，否則可能導致所有應用程式暫時無法連線。
Linux 環境可能使用 TUN 介面、系統網路管理服務、命令列核心或桌面前端。不同發行版對 DNS、路由表與權限管理的整合程度不同。排查時應分別檢查介面、預設路由、策略路由與解析設定，不要只依據前端顯示的「已連線」。
無論使用哪個平台，解除安裝前都應先中斷連線、刪除訂閱、登出帳號並恢復系統代理。準備轉讓、回收裝置或交由他人長期使用時，還應清理用戶端快取、匯出的設定檔、下載目錄中的訂閱備份，以及密碼管理器中的裝置授權。
新手可以照著執行的安全基準
開始使用前，先建立不含身分資訊的使用者名稱與獨立密碼。透過使用者面板取得訂閱後，只在自己控制的用戶端中匯入。連線時確認協定設定未關閉憑證驗證，在公共網路上先建立通道，再處理帳號與付款操作。連線後同時核對出口 IP、DNS 與目標網站憑證，不要把「用戶端顯示已連線」當作唯一依據。
日常使用時，減少同時執行的代理、加速與網路過濾工具。用戶端更新後重新檢查權限與分流規則；更換裝置前刪除舊設定；訂閱連結外洩後更換憑證，不要只刪除公開訊息。聯絡客服時提供可重現的步驟與已去除敏感資訊的錯誤內容，不要傳送完整訂閱、密碼或無關個人資料。
VPN 能處理的是一段網路路徑上的傳輸與出口問題。帳號安全、網站真偽、檔案來源、用戶端權限與本機裝置狀態仍需分別管理。釐清這些界線後，新手不必記住複雜術語，也能透過固定的檢查順序避免多數常見錯誤。