判断 VPN 是否安全，不能只看“军用级加密”或“严格无日志”之类的宣传语。真正需要核对的是：连接使用什么加密方式、服务端会记录哪些数据、客户端是否覆盖了目标应用的流量，以及连接中断时是否可能暴露真实网络信息。即使 VPN 隧道工作正常，账户安全、设备设置和访问的网站仍然会影响整体隐私。
本文提供一套可以自行执行的检查方法。不同操作系统和客户端的菜单名称可能不同，配置项也会随版本变化；找不到某个选项时，应查阅所用客户端的官方说明，而不要根据相似软件的截图盲目修改。
先明确 VPN 能保护什么
VPN 会在设备与 VPN 服务器之间建立加密连接。连接生效时，本地网络中的其他使用者通常较难直接读取这段隧道内传输的数据；目标网站看到的网络出口也可能变成 VPN 服务器的地址。但这不代表所有网络活动都变得匿名，也不代表 VPN 会替代 HTTPS、设备防护或账户安全措施。
- 本地网络可见性：未加密的普通连接可能被同一网络中的观察者读取；使用 VPN 后，隧道传输受到保护，但连接时间、数据量等元信息仍可能被观察到。
- 网站与应用可见性：HTTPS 仍负责保护浏览器或应用与目标服务之间的内容。登录账户、浏览器指纹、Cookie 和主动提交的信息，不会因为启用 VPN 自动隐藏。
- VPN 服务商可见性：流量经过 VPN 服务端时，服务商在技术上可能接触到部分连接信息。实际可见范围受协议、HTTPS、服务端架构与运行方式影响。
- 设备本身的风险：恶意软件、过时系统、弱密码或被盗账户都可能绕过网络层保护，VPN 不能修复这些问题。
因此，隐私检查应分成服务商、加密隧道、客户端接管范围和本地设备几部分。不要把“连接成功”当成全部流量都已加密的证明，也不要把某种线路名称理解成安全认证。
检查无日志政策是否具体
“无日志”不是一个含义固定的技术开关。阅读服务商的隐私政策、服务条款和相关说明时，先看它是否明确说明收集什么、为什么收集、保存多久，以及哪些数据会在法律要求或安全事件中被处理。只有口号、没有范围和解释的承诺，很难帮助用户判断真实的数据处理方式。
应重点区分几类信息。账户资料可能用于登录和服务管理；诊断数据可能包含客户端版本、错误代码或崩溃记录；连接数据则可能涉及连接时间、来源地址、分配的出口、传输量或访问目的地。不同类别不应笼统地混为“日志”。如果政策没有说明是否记录来源 IP、DNS 请求或连接时间，不能据此自行推断它们一定不被收集。
- 查找定义：确认政策如何定义“活动日志”“连接日志”“诊断数据”和“账户信息”，并留意术语是否前后一致。
- 查找保存期限：区分临时处理与长期保存；若保留期限因故障排查、反滥用或法规要求而不同，应查看其适用条件。
- 查找第三方：检查支付、客服、崩溃分析等外部服务可能收到哪些信息，以及数据是否会跨境处理。
- 查找验证方式：独立审计、透明度报告或法院文件可以提供额外线索，但要核对报告覆盖的系统、时间范围与结论边界。
审计报告也不是永久保证。报告可能只覆盖特定日期、特定服务组件或特定配置；之后的系统和政策变化仍需重新查看。若说明中有无法理解的术语，可以向服务商询问具体数据类型和保存规则，并保留回复以便日后核对。
账号设置同样值得检查：使用独立且不重复的密码，开启可用的多因素验证，定期查看活跃会话与账户通知。若订阅链接或配置文件具有访问权限，应按凭据对待，不要公开粘贴到论坛、聊天群或不熟悉的在线转换工具中。
核对加密与公共 Wi-Fi 设置
连接界面显示“已保护”并不能说明所有细节。打开客户端的连接信息或日志，核对实际使用的协议、加密套件或安全状态；不同协议的术语和展示方式并不相同。Shadowsocks、VMess、Trojan、Hysteria2 与 WireGuard 是不同的协议或实现，不能仅凭名称判断安全强弱，也不能把线路类型等同于加密方式。IEPL 描述的是传输链路的一部分，不是应用层加密协议。
还要区分 VPN 隧道加密和 HTTPS。VPN 主要保护设备到 VPN 服务器之间的传输；访问 HTTPS 网站时，浏览器与网站之间仍由 TLS 保护。若目标服务使用明文协议，VPN 隧道可降低本地网络直接读取内容的机会，但流量到达 VPN 服务器后的保护方式仍取决于目标协议和服务端处理。需要现成方案的话，免费VPN里有整理好的入口。
在公共 Wi-Fi 中，优先连接可信网络并确认系统没有自动加入名称相似的热点。启用 VPN 后，检查客户端是否确实建立连接，再打开需要使用的应用。对重要账户仍应确认网址和证书状态，不要忽略浏览器的安全警告；也不要在共享设备上保存密码或保持账户长期登录。
- ✅ 安装系统与客户端更新，只从可信来源获取应用和配置。
- ✅ 确认客户端显示已连接，并查看日志中是否有协议错误或反复重连。
- ✅ 在公共 Wi-Fi 上避免自动连接未知热点，离开网络后断开不再需要的会话。
- ✅ 重要网站继续使用 HTTPS，并为账户设置独立密码和可用的多因素验证。
- ❌ 不要把“专线”“高速”或“已连接”等标签当作独立的安全审计证明。
如果你正在比较服务，可以把隐私政策的可核对程度、客户端的设置透明度和自身设备上的验证结果放在一起考虑。仅凭“免费VPN”几个字也无法推断服务会如何处理数据；应查看具体的政策与技术说明，再决定是否适合处理敏感账户或工作信息。
逐步检查 DNS 与 WebRTC 泄漏
DNS 查询用于把域名转换为网络地址。使用 VPN 时，预期的 DNS 请求通常应由 VPN 客户端指定的解析路径处理；如果设备仍向本地网络或其他不符合预期的解析器发送请求，就需要进一步检查客户端配置、系统设置和分流规则。检测网页展示的信息可能受浏览器、网络和测试方式影响，应把它作为线索，而不是单独的定论。
- 先记下当前网络、设备、浏览器、客户端模式和所选线路。关闭其他代理或安全软件，避免多个工具同时改变 DNS 与路由。
- 断开 VPN，使用可信的 DNS 检查服务查看当前解析器信息并记录结果；不要在测试页面输入密码或其他敏感内容。
- 连接 VPN，确认客户端已成功接管流量，再重复同一检查。观察解析器是否发生符合预期的变化，以及是否出现本地网络运营商或陌生解析器。
- 若结果异常，先检查客户端的 DNS 选项、系统 DNS、分流规则和浏览器安全 DNS 设置。每次只调整一项，然后重新连接并复测。
- 在浏览器中检查 WebRTC 暴露的信息。比较连接前后的公网地址线索；局域网地址、候选地址和浏览器显示内容可能因系统与浏览器实现而异，不要把单一字段误判为公网泄漏。
WebRTC 用于浏览器实时通信。某些浏览器配置可能通过 ICE 候选收集网络接口信息；是否暴露可识别的真实公网地址，取决于浏览器实现、候选类型和代理接管范围。若检查发现不符合预期的地址，先更新浏览器和客户端，再核对代理模式及 WebRTC 防护选项。关闭 WebRTC 可能影响视频会议、语音通话或网页实时功能，调整前应衡量实际需求。
如使用浏览器内置的安全 DNS，应确认它与 VPN 客户端的 DNS 策略是否一致。不同设置可能导致查询路径和预期不同；盲目同时开启或关闭相关功能，可能影响解析、访问速度或企业网络配置。完成调整后，应重启浏览器或重新连接，再用相同条件复测并保存日期、网络环境和结果，避免把一次偶然变化当作长期结论。
理解 Kill Switch 并建立自查清单
Kill Switch 通常用于 VPN 隧道意外断开时，阻止部分或全部网络流量继续通过普通网络接口发送。它的保护范围取决于客户端、操作系统和配置：有的仅在应用运行期间生效，有的支持系统级规则；有的只阻断指定应用，也有的会连本地网络访问一并阻断。因此，看到开关开启并不等于所有断线场景都已覆盖。
启用前先阅读客户端说明，了解它是否允许局域网访问、是否支持开机前保护，以及退出客户端或系统休眠后会发生什么。测试时不要在正在进行的付款、上传或重要会议中故意断开连接。可以先保存工作，在可恢复的普通网页会话中观察断线后的表现；若客户端提供安全测试模式，优先使用该方式。测试结束后确认网络恢复，并检查规则没有遗留导致无法联网。
- ✅ 确认 Kill Switch 的作用范围，并记录它覆盖整个设备还是部分应用。
- ✅ 检查客户端是否有 DNS 泄漏防护、自动重连与启动行为设置，并了解它们之间的关系。
- ✅ 分别在 Wi-Fi 切换、设备休眠恢复和手动断开等日常场景中观察客户端提示与网络状态。
- ✅ Windows 或 macOS 上检查系统代理、TUN 模式和排除规则；移动设备上检查系统 VPN 配置及后台运行限制。
- ❌ 不要同时启动多个 VPN 或代理客户端来“叠加保护”，它们可能争用路由、DNS 和虚拟网络接口。
记录结果时可写明测试日期、客户端版本、系统、网络类型、协议、代理模式、DNS 设置、断线后的行为和复测结论。不要记录或分享完整订阅链接、账户密码、私钥等敏感凭据。出现疑问时，先恢复到已知可用的配置，再一次只改变一个选项，这样更容易定位原因。
隐私保护不是一次设置后永远不变的状态。系统更新、客户端升级、浏览器设置变化或网络切换都可能影响流量路径。定期复查政策与客户端设置，并在重要变化后重复 DNS、WebRTC 和断线行为检查，才能让结论建立在当前配置上。