VPN 实际上能防范什么（以及不能防范什么）
VPN 是目前最受推荐的隐私工具之一，这并非没有道理。但围绕 VPN 的营销常常过度承诺，让用户产生虚假的安全感。对于任何正在构建个人安全体系的人来说，理解 VPN 到底能防范什么，以及它在哪些方面不再有用，真的非常重要。
简而言之：VPN 在特定且范围较窄的一系列任务上表现优异。超出这些任务之外，它几乎无法保护你免受黑客攻击。
VPN 真正能为你抵御的威胁
VPN 的工作原理是加密你的互联网流量，并通过一个服务器来路由这些流量，从而隐藏你真实的 IP 地址。这两项功能直接应对了若干现实威胁。
公共 Wi‑Fi 拦截 对大多数人来说是最实际的用例。当你在咖啡馆、机场或酒店连接到一个不安全的网络时，同一网络上的其他用户有可能拦截未加密的流量。VPN 会在流量离开你的设备之前对其进行加密，使本地网络上任何窥探者都无法读取。如今大多数网站默认使用 HTTPS，这个威胁已不如此前那么重要，但仍然存在未加密数据经由公共网络传输的情况。
IP 地址暴露 是 VPN 提供真正保护的另一个领域。你的 IP 地址可以揭示你大致的地理位置，在某些情况下还能被用来跨服务识别你的身份。用 VPN 服务器的 IP 将其掩盖，就能限制广告商、网站和某些威胁行为者对你的推断。
DDoS 攻击 是一种不太常见但真实存在的威胁，尤其是对游戏玩家、主播和内容创作者而言。分布式拒绝服务攻击会用垃圾流量淹没目标的 IP 地址，使其掉线。如果你的真实 IP 隐藏在 VPN 服务器后面，攻击者就无法攻击你实际的连接。VPN 服务器会代为吸收这些流量。
这些都是实在的保护措施。只是它们并不是全面的保护。
VPN 力不能及之处
VPN 无法检查、拦截或过滤你选择用这个连接所做的事。这意味着整整几类攻击都会完全绕过它。
网络钓鱼 可能是最重要的防护空白。如果你点击邮件中的恶意链接，并在伪造的登录页面上输入凭据，VPN 对此毫无阻止之力。加密隧道会忠实地将你送到那个欺诈网站。无论 VPN 是否开启，攻击都能得逞。
恶意软件 也是同样的道理。如果你下载并执行了恶意文件，VPN 没有任何机制来检测或阻止它。恶意软件运行在应用层，远在 VPN 所提供的网络层保护之上。
账户被盗，无论是通过撞库、密码重用还是会话劫持，同样不受 VPN 影响。如果攻击者从泄露的数据库获取了你的用户名和密码，他们可以从任何地方登录你的账户。你的 VPN 保护不了这些凭据。
零日漏洞利用 针对你的浏览器、操作系统或应用程序，这和你的 IP 地址或网络流量加密毫无关系。这类攻击利用的是软件本身的漏洞。
这种局限也延伸到更复杂的威胁。正如近期对新加坡国家级 APT 攻击的分析所说，高级持续性威胁行为者会使用鱼叉式网络钓鱼、供应链攻击和端点利用等手段，这些根本就不是 VPN 设计意图要对抗的。国家级对手无需拦截你的 Wi‑Fi 流量。
配套的安全工具箱
由于 VPN 仅仅覆盖网络层威胁而几乎不管其他方面，真正的安全需要叠加其他工具。
密码管理器 能为每个账户生成唯一的随机密码，从而消除撞库攻击。密码重用是最常见的账户失窃途径之一，而没有任何 VPN 能解决这个问题。
多因素认证（MFA） 即便凭据失窃，也能增加第二道屏障。硬件安全密钥能提供最强形式的 MFA，不过比起基于短信的验证码，身份验证器应用已经是巨大的进步。
端点保护软件 在设备层面应对恶意软件、勒索软件以及部分漏洞利用尝试。再配合让操作系统和应用程序保持更新、打补丁，就能覆盖 VPN 无法触及的软件漏洞面。
防范钓鱼的邮件使用习惯 以及能标记可疑网址的浏览器扩展，可以降低社会工程攻击的效果。训练自己在点击前仔细审视链接，虽然听起来不酷，却是最有效的安全措施之一。
值得注意的是，即使是加密通讯应用也无法免受用户层面的入侵。最近一篇关于为何 Signal 用户不断遭到入侵，问题不在于应用本身的分析文章清晰地说明了这一点：攻击者的目标是人、设备或账户设置，而非加密协议。那些案例中，VPN 同样无济于事。
一个实用的应用场景框架
与其纠结是否应该使用 VPN，更好的问题是：它什么时候有用，什么时候该换用其他工具。
当你连接到公共或不信任的 Wi‑Fi 网络、想要限制基于 IP 的追踪和画像、你的真实 IP 地址可能将你的物理位置暴露给敌对一方，或者想降低在线游戏或直播中的 DDoS 攻击风险时，请使用 VPN。
而在以下场景中，则要依靠其他工具：评估邮件中的链接再点击（使用链接扫描器或直接导航到网站）；审查你的账户是否安全（使用密码管理器并启用 MFA）；需要防范恶意软件（使用端点安全软件并保持系统打补丁）；或者处理一场来自老练对手、且你已明确成为目标的定向攻击。
这对你意味着什么
VPN 是一种合法且有用的工具。它应该被纳入个人安全体系中，但不应该是该体系中唯一的东西，也不应该被期望去做它从未被设计要去完成的工作。
造成最大实际伤害的威胁——网络钓鱼、恶意软件、账户接管和定向漏洞利用——都运行在网络层之上。VPN 的加密和 IP 掩码对所有这些威胁都毫无作用。
最有效的方法是分层防护：在 VPN 确有帮助的具体场景中使用它，而对它无法应对的威胁使用专门构建的工具。理解哪个工具应对哪种威胁，才是在压力之下真正能撑住的安全态势的基础。探索具体的现实攻击场景，是把这一框架付诸实践的下一步。
