crispy
VPN的工作方式很简单：它先在你的设备和VPN服务器之间建立加密连接，再把你的上网流量通过这条连接转发出去。这样一来，运营商或公共 Wi-Fi 管理者看到的是一条受保护的 VPN 连接，网站看到的则是 VPN 服务器的公网 IP，而不是你平时的那个地址。
更准确地说，VPN怎么工作，核心就是握手、临时密钥、加密隧道、通过隧道传输 DNS 请求，以及换成新的公网 IP。Crispy VPN 所有服务器都使用 WireGuard，这套流程更现代，速度也更轻快。
一次连接里，VPN到底做了什么
很多人问 VPN怎么工作，会以为它只是一个简单的开关。实际上，你点下连接之后，背后会快速走完一串步骤。
- 打开 VPN 应用并选择服务器。 应用开始准备和该服务器建立安全连接。Crispy VPN 一个账号可在手机、电脑、电视和浏览器上使用，下载入口在 下载页。
- 你的设备和 VPN 服务器完成握手。 这是一个简短的建立连接过程，双方确认身份并协商新的会话密钥。
- VPN 创建加密隧道。 你的流量在离开设备前就被加密了。
- 流量先到 VPN 服务器。 运营商、手机网络、公司网络、酒店、机场或咖啡店 Wi-Fi 可以看到你连上了某个 VPN 服务器，但看不到隧道里的具体内容。
- 服务器再把流量转发出去。 网站和应用收到的是来自 VPN 服务器 IP 的请求，而不是你家里或手机网络的 IP。
- 响应再原路返回。 网站把内容发给 VPN 服务器，服务器再把加密后的响应送回你的设备，最后由本地解密。
这就是为什么 VPN 会改变不同对象能看到的信息。你所在的网络少看到很多细节，网站看到的是另一组公网 IP，而 VPN 服务本身也会参与这条路径，所以它的记录策略和技术设计很重要。
什么是 VPN 隧道
VPN 隧道不是物理隧道，而是你设备和 VPN 服务器之间的一条受保护通道。通道里的数据在经过普通互联网之前就已经加密了。
可以把它理解成一条私密车道。没有 VPN 时，很多网站虽然本身有 HTTPS，但你的运营商或 Wi-Fi 管理者通常仍能看到你连到了哪些域名、涉及哪些 IP。用了 VPN 后，局域网里最明显的连接对象主要就是你的设备和 VPN 服务器。
隧道覆盖的范围，取决于 VPN 应用和它的设置。在大多数设备应用里，这意味着连接后设备流量都会走 VPN。浏览器扩展通常只保护浏览器流量。如果你想对比这两类方式，可以看看 VPN 和代理有什么区别。
为什么服务器位置很关键
VPN 服务器就是出口。流量被解密后，会从服务器继续发往互联网。目标网站看到的是服务器的公网 IP。如果你连的是另一个城市或国家的服务器，你对外显示的位置通常也会跟着变成那个服务器所在地。
Crispy VPN 有 12 个服务器位置，覆盖欧洲、北美和亚太，日常使用时可以选一个离自己近的节点，也可以在需要时切到别的地区。
VPN 加密是什么
VPN 加密就是把可读数据在离开设备前变成看不懂的密文。只有正确的一端，也就是 VPN 服务器或回传时你的设备，才有密钥把它还原成可用数据。
不必钻进数学细节。你只要知道，加密的作用是保护数据包在你不控制的网络里传输时的内容。如果有人在同一个公共 Wi-Fi 上抓包，应该看不懂隧道里的内容。运营商如果查看连接，也应该只看到 VPN 连接，而不是里面具体访问了什么页面或应用数据。
Crispy VPN 每台服务器都使用 WireGuard。这个协议使用 ChaCha20-Poly1305 来保护加密和数据完整性，使用 Curve25519 来完成密钥协商。通俗地说，一个部分负责保护数据，一个部分负责发现篡改，另一个部分负责让双方安全生成共享密钥。你可以在 什么是 WireGuard 里了解更多。
握手的作用是什么
握手是建立连接的准备阶段。你的设备和 VPN 服务器会交换专门设计的加密消息，最后双方都能算出临时会话密钥。这些密钥随后用于保护隧道里的流量。
现代 VPN 设计通常不会把同一组长期密钥反复用于每个数据包。临时密钥能减少单把钥匙保护的数据量，也有助于在会话结束或变化时保持更安全。
VPN 会如何改变你的 IP 和 DNS
公网 IP 是网站在你的连接到达它们时看到的地址。没有 VPN 时，这个地址通常属于你的运营商、手机网络、公司网络，或者你正在使用的 Wi-Fi。连接 VPN 后，网站通常看到的是 VPN 服务器的公网 IP。
这很重要，因为 IP 地址可能暴露大致位置和网络提供商。VPN 不能让你匿名，但它确实能阻止普通网站在这次 VPN 会话中看到你真实的家用、手机或酒店网络 IP。
DNS 也会走隧道吗
DNS 是把 example.com 这类域名转换成电脑能用的 IP 地址的系统。没有 VPN 时，DNS 请求可能会发给你的运营商、路由器、公司网络，或者设备上设置的 DNS 服务。即使网页内容本身有 HTTPS，这些查询也可能暴露你正在访问哪些站点。
当 VPN 正常工作时，DNS 请求应该和其他流量一样穿过隧道。这意味着本地 Wi-Fi 管理者或运营商不该再看到一条独立的 DNS 查询流。如果 DNS 泄漏到隧道外，隐私效果就会打折。
连接后，最好顺手检查一下当前 IP 和 DNS 是否正常。你可以参考 怎么判断 VPN 是否正常工作。
运营商和 Wi-Fi 管理者在连接前后能看到什么
VPN 会改变可见性，但不会让所有人都看不见。最容易理解的方法，就是比较连接前和连接后。
连接 VPN 之前
- 运营商通常能看到你的账号、连接时间、分配给你的 IP，以及流量元数据。
- Wi-Fi 网络的管理者可能看到你的设备接入网络，以及它访问了哪些互联网目的地。
- DNS 请求可能对当前网络或 DNS 服务可见。
- 网站和应用看到的是你当前网络的公网 IP。
连接 VPN 之后
- 运营商或 Wi-Fi 管理者能看到你的设备连上了 VPN 服务器。
- 他们能看到时间和流量大小，但看不到隧道里的可读内容。
- 网站和应用看到的是 VPN 服务器的 IP，而不是你平时的公网 IP。
- 如果配置正确，DNS 请求也会通过隧道发送。
但还是有边界。如果你登录了某个网站，它依然知道是你，因为它可以通过账号、Cookie、设备信号或其他识别方式认出你。VPN 改变的是网络路径，不会抹掉网站和应用原本就会用到的所有追踪手段。
VPN 不能做什么
VPN 很有用，但也经常被夸大。先看清边界，才能用对场景。
- 它不会让你匿名。 VPN 服务本身会参与路径，网站也仍然可能识别已登录用户。
- 它不会自动拦截恶意软件。 VPN 不是杀毒软件，恶意下载通过 VPN 也还是恶意下载。
- 它不能阻止钓鱼。 如果你把密码输入到假登录页里，加密并不会替你判断页面真假。
- 它不会移除账号追踪。 如果你登录了社交平台、购物网站或邮箱，服务仍然可以把你的活动和账号关联起来。
- 它也不保证网速更快。 VPN 会增加路由和加密步骤，有时路径更顺，有时反而更慢。想了解原因，可以看 VPN 会不会拖慢网速。
更合适的用法，是把 VPN 当作隐私和安全的一层工具，再配合强密码、系统更新、HTTPS 网站、设备锁和合理的账号设置一起使用。
怎样让 VPN 连接更稳定
当你弄懂了 VPN怎么工作，很多实际问题就会更容易处理。连接不稳，通常和服务器选择、网络质量、协议表现或应用设置有关。
- 日常浏览尽量选附近服务器。 距离更短，通常延迟更低。
- 优先使用 WireGuard。 Crispy VPN 每台服务器都使用 WireGuard，不需要在老协议之间来回切换。
- 需要时打开 Kill Switch。 它能在 VPN 意外断开时尽量阻止流量外泄。Crispy VPN 的 iPhone、iPad、Mac、Windows、Linux 和浏览器扩展都提供这个功能，而且默认关闭。Android 则使用系统的 Always-on VPN 和 Block connections without VPN 设置。
- 网络切换后重新连接。 比如从流量切到 Wi-Fi，或者从一个 Wi-Fi 切到另一个，都可能让隧道短暂中断。
- 设置后检查 IP 和 DNS。 这样能确认流量是否按预期走了。
如果你想看更适合新手的设置流程，可以继续读 怎么使用 VPN。
