这份 VPN新手安全指南先给出核心结论：账号密码、订阅链接和已经导入客户端的配置都属于凭据，不应公开转发；在公共 Wi-Fi 下，应先确认网络名称与登录页面，再建立线路，最后才打开需要登录的服务。客户端显示“已连接”也不是检查终点，还要核对出口 IP、DNS、分流范围和断线后的流量去向。
网络工具只能处理它实际接管的流量。账号被共用、订阅链接进入公开记录、应用被分流到本地出口，或者客户端断开后继续直连，都不是更换协议名称就能自动解决的问题。安全操作因此应拆成凭据、导入、连接、验证和撤销几个环节，逐项确认，而不是只看状态栏图标。
账号、密码与订阅链接分别保护什么
账号密码用于进入服务面板，通常可以查看套餐、设备配置、订阅入口和支持记录。订阅链接则常被客户端直接读取，用来取得节点名称、服务器地址、端口、协议参数和认证标识。两者用途不同，但都能让持有者接近账户资源，因此不能把订阅链接当成普通下载地址。
| 对象 | 可能包含或控制的内容 | 适合的保管方式 | 发现外泄后的动作 |
|---|---|---|---|
| 账号密码 | 面板访问权、套餐信息、订阅入口与支持记录 | 使用独立密码，并交由可信的密码管理器保存 | 修改密码，检查面板内的配置与活动状态 |
| 订阅链接 | 客户端可读取的线路配置与认证参数 | 只在受控设备与可信客户端之间传递 | 在面板中重置或更新订阅，再重新导入 |
| 导出配置 | 单条节点的服务器地址、协议与凭据 | 避免放入公开网盘、公开仓库或共享文档 | 删除公开副本，并更换对应认证参数 |
| 客户端日志 | 连接时间、节点名称、错误信息，部分日志可能显示配置片段 | 提交支持前先检查内容，只保留排障所需部分 | 撤回公开附件，按暴露范围处理相关凭据 |
新手常见误区是认为链接使用 HTTPS 就可以随意转发。HTTPS 保护的是传输过程，不会阻止接收者继续复制，也不会自动清除浏览器历史、剪贴板记录、聊天备份或服务器访问日志。链接一旦离开受控环境，就应按已经复制出去的凭据处理。
- ✅ 为服务面板使用独立密码，不与其他网站重复。
- ✅ 只在自己确认来源的客户端中粘贴订阅链接。
- ✅ 截图前检查地址栏、二维码、节点详情与通知内容。
- ✅ 更换设备或转交设备前，删除订阅、缓存与导出文件。
- ❌ 不把订阅链接交给来历不明的“在线转换”页面处理。
- ❌ 不在公开问题描述中粘贴完整客户端日志。
客户端导入时要检查来源与权限
客户端导入一般有两种路径：粘贴订阅链接后更新整组节点，或导入单条分享链接与配置文件。整组订阅便于同步线路变化，但也意味着客户端可以读取完整订阅内容；单条配置暴露范围相对集中，却可能因长期不更新而留下失效参数。选择哪一种，不改变“先验证客户端来源”的要求。
Windows 与 macOS 客户端通常会创建虚拟网络接口，并修改系统路由或 DNS 设置。Android 可以使用系统提供的 VPN 接口，部分客户端还能配合始终开启模式；iOS 客户端受系统网络扩展机制管理，应用切换与系统休眠后应重新确认连接状态。Linux 常见命令行进程或系统服务方式，配置文件权限、服务日志和启动用户尤其值得检查。
安装前应从项目正式页面或可信的软件分发入口取得客户端，核对应用名称、开发者信息和更新来源。不要因为某个安装包“已经预置节点”就跳过来源检查。预置内容可能已经过期，也可能无法说明配置由谁维护。导入后还要检查客户端请求的权限是否与功能相符，例如创建网络连接、发送通知或后台保持连接。
不同协议中的凭据形态
Shadowsocks 通常使用服务器地址、端口、加密方式与密码组成配置；VMess 和 VLESS 常见 UUID 一类认证标识，其中 VLESS 本身不负责传输层加密，部署时通常还要结合 TLS、REALITY 或其他安全传输；Trojan 以 TLS 连接和密码认证为常见组合。Hysteria2 与 TUIC 基于 QUIC 或 UDP 传输，也会使用密码、令牌或证书相关参数。
这些参数的名字不同，保管原则相同：能够完成认证的字符串不能公开。协议较新、配置较长或二维码较复杂，并不意味着凭据更难泄露。二维码只是配置的另一种编码方式，任何清晰截图都可能被重新识别。
- 确认来源：先确认客户端来自正式发布渠道，更新也由同一来源提供。
- 检查导入内容：核对订阅域名、节点命名和协议类型，异常跳转应停止导入。
- 限制日志：保持正常排障所需的日志级别，不长期启用会输出详细配置的调试模式。
- 连接后验证：检查出口 IP、DNS 解析路径、分流结果与断线行为。
- 退出前清理：临时设备使用结束后删除订阅、配置文件和相关缓存。
公共Wi-Fi下的正确连接顺序
公共 Wi-Fi 的主要问题不是“公开”两个字本身，而是用户难以确认接入点由谁运营、同名网络是否真实、登录页是否被替换，以及本地网络是否允许设备互相发现。机场、酒店、展馆和餐饮场所常使用门户页要求先接受条款；在门户认证完成前，VPN 连接可能暂时无法建立，这不代表应该忽略后续保护。
连接时先向现场标识或工作人员确认网络名称，不要只选择信号最强的同名接入点。进入门户页后，仅完成接入所需操作，不在来源不清的页面填写与上网无关的账号资料，也不要接受要求安装未知证书、描述文件或远程管理组件的提示。完成门户认证后，关闭该页面，再启动可信客户端。
- 确认接入点：从现场可靠信息核对 Wi-Fi 名称，关闭系统自动加入陌生网络的设置。
- 完成门户认证：只处理联网所需步骤，对证书安装和额外软件请求保持谨慎。
- 建立线路：打开客户端，选择合适节点并等待系统显示网络连接已经建立。
- 核验出口：打开 IP 检测页面，确认当前出口与所选地区相符。
- 核验 DNS：检查域名解析是否仍由本地网络直接处理。
- 再进行登录：验证完成后再访问网银、工作系统或其他需要登录的服务。
网页使用 HTTPS 时，旁路观察者通常不能直接读取加密后的页面正文，但仍可能观察连接目标、时序和流量特征。VPN 或加密代理会把已接管的流量封装到客户端与线路入口之间，不过分流到本地出口的应用、连接建立前产生的请求，以及断线后自动恢复的直连流量，仍要单独处理。
客户端若提供断线阻止、始终开启或类似功能，可以降低隧道意外中断后流量回到本地出口的机会，但不同平台的实现范围并不完全相同。有的设置只在客户端主动运行时生效，有的会影响门户认证。首次启用后，应实际断开线路并观察应用是否停止联网，而不是只相信开关名称。
DNS泄漏与分流规则如何核验
DNS 负责把域名转换为网络地址。客户端已经建立代理或隧道，并不必然代表 DNS 查询也走同一路径。如果系统仍把查询交给本地网络提供的解析器，本地网络可能看到请求解析的域名，还可能返回与线路出口不一致的结果。这类情况通常称为 DNS 泄漏或 DNS 路径不一致。
检查时不要只看客户端状态。先记录连接前的出口与 DNS 信息，再连接线路重新检测；然后分别用浏览器和常用应用访问测试目标。若出口已经变化，但 DNS 仍稳定显示本地网络的解析路径，就应检查客户端的系统代理、虚拟网卡、远程 DNS、加密 DNS和分流 DNS 设置。
分流规则决定哪些请求进入线路，哪些请求保持本地直连。常见依据包括域名、IP 网段、应用进程和地区规则。规则模式适合保留本地服务访问，但维护成本高：域名可能调用其他内容分发域名，应用也可能同时使用网页接口、媒体接口和登录接口。只把主域名加入规则，可能出现页面能开、图片失败或登录循环。
| 现象 | 可能原因 | 检查方向 |
|---|---|---|
| 出口已变化，DNS 仍走本地网络 | 客户端只设置了应用代理，没有接管系统 DNS | 检查虚拟网卡模式、远程 DNS 与系统加密 DNS 的优先级 |
| 浏览器生效，其他应用仍直连 | 仅配置了浏览器代理，应用没有遵循系统代理 | 改用系统隧道模式，或为该应用补充进程分流规则 |
| 网页能开，登录或媒体加载失败 | 相关接口域名被遗漏，或不同请求使用了不同出口 | 查看连接日志，补齐域名规则并保持同一会话出口一致 |
| 线路断开后应用继续联网 | 断线阻止未启用，或只覆盖部分网络接口 | 检查平台权限，并通过主动断开测试实际行为 |
- ✅ 连接前后分别检查出口 IP，避免把缓存页面当作检测结果。
- ✅ 同时检查 DNS 路径，不只确认页面上显示的地区。
- ✅ 用浏览器与常用应用分别测试，确认接管范围一致。
- ✅ 修改规则后重新建立连接，让路由与 DNS 配置完整刷新。
- ❌ 不以“节点名称正确”代替真实的出口检测。
- ❌ 不默认所有应用都会遵循浏览器或系统代理设置。
直连、中转与IEPL专线的安全边界
直连线路表示客户端直接连接远端服务器，路径结构简单，但表现更受公网路由、拥塞和本地运营商网络影响。中转线路会先进入较近的入口，再由中转网络送往出口，通常用于改善路由可控性。IEPL 专线描述的是跨区域承载方式，重点在传输路径与调度，不等于账号、订阅或终端设备自动获得额外保护。
无论使用哪种拓扑，客户端到入口之间都应按具体协议正确建立加密与认证。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 的配置方式不同，不能只凭“专线”“中转”或节点名称判断加密状态。线路拓扑解决的是数据如何到达出口，凭据管理解决的是谁可以使用配置，两者不能互相替代。
中转节点还会增加一个需要运维管理的环节，但这不代表它天然更危险或更安全。判断时应关注客户端到入口的协议、入口与出口之间的承载方式、DNS 如何处理，以及服务端的日志策略。若服务声明无日志或不记录浏览内容，应结合公开的隐私说明理解其范围，不把一句策略表述扩展成对所有终端、应用与第三方网站的保证。
发现泄露或异常连接后的处理流程
异常迹象可能包括订阅更新突然失败、节点配置被意外改动、自己未操作时出现配置变化，或订阅链接曾进入公开页面。此时不要只删除本地客户端，因为已经复制出去的凭据不会随本地删除而失效。处理重点是撤销旧凭据、建立新凭据，再检查传播范围。
- 保留必要证据：记录异常发生的时间、页面位置与错误信息，但不要再次复制完整凭据。
- 修改面板密码：若账号密码可能外泄，先更换为未在其他服务使用的新密码。
- 重置订阅：通过服务面板更新订阅链接或认证信息，使旧链接停止继续获取配置。
- 重新导入：在可信设备上删除旧订阅，再导入更新后的配置。
- 清理公开副本：删除聊天附件、公开文档、代码记录、截图和日志中的敏感内容。
- 复核连接：重新检查出口 IP、DNS、分流和断线后的流量行为。
如果配置曾提交到代码仓库，仅删除当前文件通常不够，因为历史提交仍可能保留内容；如果曾发送到多人会话，也不能假设撤回后所有副本都消失。正确做法是把旧凭据视为已经暴露并完成轮换。对于暂时无法确认影响范围的情况，优先撤销旧订阅，再继续排查。
安全使用并不依赖复杂操作，而依赖边界清楚：账号密码控制面板，订阅链接交付配置，客户端接管流量，分流规则决定覆盖范围，DNS 设置决定解析路径，线路拓扑决定数据如何抵达出口。把每个环节分别验证，才能知道问题发生在哪里，也能在泄露或断线时迅速采取对应措施。