crispy
公共 Wi-Fi VPN 值得用，因为它会加密你的设备和 VPN 服务器之间的流量，减少咖啡馆、酒店、机场和火车网络能看到或篡改的内容。HTTPS 已经保护了很多网页内容，但公共 Wi-Fi 仍然有真实风险，例如假热点、DNS 劫持、强制登录页和网络运营方的窥探。
最实用的做法很简单，先连上 Wi-Fi，完成登录页，然后再打开 VPN，接着再浏览网页、发消息、办公或打开应用。VPN 不是万能隐身盾，但在共享网络上，它确实是降低暴露面的最简单办法之一。
大多数网站都用 HTTPS，公共 Wi-Fi 还安全吗
公共 Wi-Fi 比起早年到处都是明文 HTTP 的年代，确实安全多了，但这不等于自动安全。现在大多数主流网站和应用都使用 HTTPS，它会保护网页或应用会话的内容，避免同一网络上的人随便看到你传了什么。也就是说，旁边咖啡桌上的人通常不会因为你连着同一个热点，就直接读到你的银行密码。
但这种进步也容易让人放松警惕。HTTPS 保护的是你和某个具体网站之间的连接，不是你在陌生网络上的全部活动。Wi-Fi 运营方仍可能看到你的设备何时接入、用了多少流量，在很多情况下还能看到你的设备在查询哪些域名。其他人也可能伪装成正规热点，干扰 DNS，或者推送一个需要更多信息的强制登录页。
所以，公共 Wi-Fi 安全吗 的诚实答案是，这类网络适合做低风险事情，前提是设备已更新、你访问的网站也都加密，但它不是你可以盲目信任的网络。VPN 会增加一层保护隧道，让本地网络不再那么关键。如果你想先补基础，可以先看什么是 VPN，再回来看公共 Wi-Fi 的具体用法。
公共 Wi-Fi 里真正值得注意的安全风险
最现实的公共 Wi-Fi 风险，并不是电影里那种瞬间接管整台设备的黑客剧情。它们更普通，也正因为普通，才更值得重视。
伪装成熟悉名字的假热点
假热点可以取一个很像真的名字，比如咖啡馆名、酒店品牌名，或者机场常见的 Wi-Fi 标签。只要你的设备连上去，所有流量都会经过创建者控制的设备。HTTPS 仍然能保护加密会话内容，但运营方可以观察连接模式，尝试 DNS 手法，并展示误导性的登录页。
DNS 劫持和域名查询
DNS 是把网站名转换成服务器地址的系统。在不可信网络上，DNS 请求会暴露你想访问哪些服务。恶意或管理不善的网络也可能把你带到错误的位置。现代浏览器有一些防护，HTTPS 也有帮助，但 DNS 仍然是常见弱点。想进一步了解，可以看我们的DNS 泄漏指南。
网络运营方的窥探
网络运营方未必有恶意。它可能是咖啡馆、共享办公、酒店、机场、火车运营方，或者会展场地。即便如此，网络仍可能收集连接元数据、设置过滤规则、注入自己的落地页，或者对强制登录页做分析。出差时，这些信息足以暴露不少你的使用习惯。
强制登录页和过度索取信息
强制登录页就是那些要求你先同意条款、输入房号、填写邮箱，或者点一个按钮之后才能上网的网页。有些很正常，有些则设计粗糙、塞满追踪器，或者很容易被仿冒。它还有一个实际问题，通常你得先完成这个页面，VPN 才能正常连接。
公共 Wi-Fi VPN 真正能解决什么
VPN 会在你的设备和 VPN 服务器之间建立一个加密隧道。连接成功后，本地 Wi-Fi 网络就不再像以前那样直接看到你访问了哪些单个网站和服务。它主要只能看到你的设备正在和 VPN 通信。
这对公共 Wi-Fi 的几个问题都有帮助。它能减少本地网络窥探，若 VPN 正确处理 DNS，也能降低 DNS 暴露，还能让热点运营方更难只凭原始流量画像你的浏览习惯。只要你在设备上使用完整的 VPN 应用，它保护的不只是网页，也包括应用流量。
Crispy VPN 的每一台服务器都使用 WireGuard。WireGuard 是一种现代 VPN 协议，代码库更小，性能更好，也更省电，这对你在机场候机厅或火车上用手机和笔记本都很重要。想看协议细节，可以读什么是 WireGuard。
不过，VPN 不会让你匿名。它也不会拦住钓鱼页面、恶意软件、弱密码，或者你已经登录的网站对你的追踪。你登录了购物网站，那个网站还是知道是你。你如果手动批准了一个恶意下载，VPN 也不会把这个文件变安全。把它理解成对网络路径的保护，而不是对判断力、系统更新和账号安全的替代品。
正确的连接顺序，先 Wi-Fi，再登录页，最后 VPN
公共 Wi-Fi 最常见的错误，就是 VPN 开得太早，热点还没完成放行，强制登录页就出不来。很多登录页需要先有一小段正常的本地连接，才能显示条款或登录页面。如果 VPN 一开始就把所有流量都包进去，登录页可能加载失败。
连接新的咖啡馆、酒店、机场或火车网络时，按这个顺序来：
- 确认网络名称。 问工作人员，看现场标识，或者查看官方信息屏，避免连到相似名字的网络。
- 连接 Wi-Fi。 先不要打开敏感应用。
- 完成强制登录页。 接受条款，或者输入所需的访问码，只提供最低限度的信息。
- 打开 VPN。 等待 VPN 应用显示已连接。
- 必要时检查连接。 如果你准备办公、网银或传私密文件，可以用可信方式确认 IP 是否已变化，比如我的 IP 是什么。
- 开始浏览和使用应用。 离开这个网络前，保持 VPN 连接。
如果 Wi-Fi 掉线又重连，就按同样逻辑再来一遍。先恢复网络接入，再确认 VPN 重新连上，然后再做任何敏感操作。
出发前先做好的公共 Wi-Fi 安全清单
公共 Wi-Fi 安全，更多靠习惯。最好在你还不累、还没赶火车、也不用把笔记本放在拥挤候车厅时，就先设置好。
- 出发前先装好 VPN。 不要等到了网速慢的酒店网络才临时下载。Crispy VPN 的下载页提供 iPhone 和 iPad、Mac、Windows、Linux、Android、Apple TV、Android TV 和 Google TV 的应用，也有 Chrome、Edge 和 Firefox 浏览器扩展，见下载页。
- 自动连接要谨慎用。 如果你的 VPN 支持快速重连，可以用，但要记住强制登录页可能得先显示出来。过了登录页之后，再连接 VPN。
- 在支持的设备上打开 kill switch。 kill switch 能在 VPN 断开时阻止流量外泄。Crispy VPN 里它是可选功能，且默认关闭，适用于 iPhone 和 iPad、Mac、Windows、Linux 以及浏览器扩展。Windows 还有可选的 Lockdown 模式。Android 则使用系统的 Always-on VPN 和阻止无 VPN 连接设置。
- 用完就忘记网络。 把酒店、咖啡馆、火车站和机场网络从已保存列表里删掉，避免设备以后自动连上一个相似名字的假网络。
- 保持系统和浏览器更新。 公共网络不是运行旧版浏览器、过时无线网卡驱动，或者没打补丁操作系统的地方。
- 优先使用 HTTPS 和官方应用。 不要忽略浏览器警告。如果网站证书警告弹出来，停下来，不要硬点继续。
- 共享设备上少做敏感操作。 VPN 保护的是连接，不是公共电脑、借来的平板，或者已经被入侵的设备。
如果你经常依赖公共 Wi-Fi，最好在真的需要之前，就先了解 kill switch 的工作方式。我们的VPN kill switch指南会把取舍讲得很直白。
酒店 Wi-Fi、机场 Wi-Fi 和火车网络怎么用 VPN
VPN 的基本原则在所有公共网络上都一样，但不同场景会影响风险和便利性。
酒店 Wi-Fi 的 VPN 用法
酒店 Wi-Fi 的好处是能连续用很多小时，但这也意味着暴露时间更长。你可能会让手机、笔记本、平板和电视设备连续连上好几天。无论是办公工具、云盘、网银还是私信，先在手机和电脑上开 VPN 再打开。若酒店要你用房号登录，先确认你连的是真网，再输入任何信息。
如果你想在酒店房间里看电视内容，记得电视平台和手机、电脑的使用方式不一样。Crispy VPN 支持 Apple TV、Android TV 和 Google TV，电视端登录需要用手机扫码。Apple TV 和 Android TV 应用没有 kill switch，所以更适合普通观看，不适合处理敏感账号事务。
机场 Wi-Fi 的安全做法
机场网络通常人多、临时、还很容易让人分心。这也让假热点名字和随手乱点更常见。想提高机场 Wi-Fi 的安全性，先核对官方网络名，不要在登录页里填不必要的个人信息，打开邮件、工作聊天或网银应用前先连好 VPN。
火车和咖啡馆网络
火车 Wi-Fi 经常在不同覆盖区之间切换时掉线。咖啡馆 Wi-Fi 可能只用一套很基础的家用级设备，密码还印在小票上。无论哪种情况，都先把网络当作不可信。按顺序完成登录页，启动 VPN，如果速度有波动也别慌。共享网络本来就慢，即使 VPN 正常工作也可能这样。
如何在共享 Wi-Fi 上选择并使用 VPN
用于公共 Wi-Fi 的 VPN，最好是你真的会打开的那一个。要看设备覆盖范围够不够广、协议是否现代、隐私说明是否清晰，以及重连是否简单。如果你在路上会用很多设备，一个账号最好能在多个平台上直接用，不用折腾。
Crispy VPN 一个订阅可覆盖最多 10 台设备，并且能在主流手机、桌面、电视和浏览器平台上使用。它没有活动日志，且采用双端中继设计，把“你是谁”和“你做了什么”分开。这个设计在公共 Wi-Fi 上尤其相关，因为本地网络不该成为那个最了解你浏览习惯的一方。
不要只按速度宣传去判断公共 Wi-Fi VPN。速度当然重要，但在你从闸机口、出租车上车点到酒店大堂之间来回切换时，稳定性、泄漏防护和清晰的 kill switch 同样重要。如果 VPN 让一个很差的热点更慢了，试试附近的服务器位置，但也要记住，真正的瓶颈可能就是这个 Wi-Fi 本身。
浏览器扩展也要现实看待。VPN 浏览器扩展对浏览器里的网页流量很有用，尤其是在你不想把整台设备都走 VPN 的受限笔记本上。若你希望邮件客户端、聊天工具和云同步等其他应用也受保护，完整的 VPN 应用通常更合适。
最稳妥的做法其实并不复杂，把每个共享热点都当作不可信网络，先完成登录页，再连接 VPN，并保持设备更新。这样不能消除所有在线风险，但能把公共网络里大量完全可以避免的暴露降下来。
