這份 VPN 新手安全指南先說明核心原則：帳號密碼、訂閱連結，以及已匯入用戶端的設定都屬於憑證，不應公開轉發；使用公共 Wi-Fi 時，應先確認網路名稱與登入頁面，再建立線路，最後才開啟需要登入的服務。用戶端顯示「已連線」也不是檢查終點，還要核對出口 IP、DNS、分流範圍，以及斷線後流量的去向。
網路工具只能處理實際接管的流量。帳號被共用、訂閱連結進入公開紀錄、應用程式被分流至本地出口，或用戶端斷線後持續直連，都不是更換協定名稱就能自動解決的問題。因此，安全操作應拆分為憑證、匯入、連線、驗證與撤銷幾個環節，逐項確認，而不是只看狀態列圖示。
帳號、密碼與訂閱連結各自保護什麼
帳號密碼用於登入服務面板，通常可以查看方案、裝置設定、訂閱入口與支援紀錄。訂閱連結則常由用戶端直接讀取，用來取得節點名稱、伺服器位址、連接埠、協定參數與驗證識別資訊。兩者用途不同，但都能讓持有者接觸帳戶資源，因此不能把訂閱連結當成一般下載網址。
| 對象 | 可能包含或控制的內容 | 適合的保管方式 | 發現外洩後的處理 |
|---|---|---|---|
| 帳號密碼 | 面板存取權、方案資訊、訂閱入口與支援紀錄 | 使用獨立密碼，並交由可信任的密碼管理器保存 | 修改密碼，檢查面板中的設定與活動狀態 |
| 訂閱連結 | 用戶端可讀取的線路設定與驗證參數 | 只在受控裝置與可信任用戶端之間傳遞 | 在面板中重設或更新訂閱，再重新匯入 |
| 匯出設定 | 單一節點的伺服器位址、協定與憑證 | 避免放入公開雲端硬碟、公開儲存庫或共用文件 | 刪除公開副本，並更換對應的驗證參數 |
| 用戶端日誌 | 連線時間、節點名稱、錯誤訊息；部分日誌可能顯示設定片段 | 提交支援請求前先檢查內容，只保留排除故障所需的部分 | 撤回公開附件，依外洩範圍處理相關憑證 |
新手常見的誤區，是以為連結使用 HTTPS 就能隨意轉發。HTTPS 保護的是傳輸過程，不會阻止接收者繼續複製，也不會自動清除瀏覽器歷史紀錄、剪貼簿內容、聊天備份或伺服器存取日誌。連結一旦離開受控環境，就應視為已被複製的憑證處理。
- ✅ 為服務面板使用獨立密碼，不與其他網站重複。
- ✅ 只在確認來源可信的用戶端中貼上訂閱連結。
- ✅ 截圖前檢查網址列、QR Code、節點詳細資訊與通知內容。
- ✅ 更換或交接裝置前，刪除訂閱、快取與匯出檔案。
- ❌ 不要將訂閱連結交給來源不明的「線上轉換」頁面處理。
- ❌ 不要在公開問題描述中貼上完整的用戶端日誌。
匯入用戶端時檢查來源與權限
用戶端匯入通常有兩種方式：貼上訂閱連結後更新整組節點，或匯入單一分享連結與設定檔。整組訂閱便於同步線路變化，但也代表用戶端可以讀取完整訂閱內容；單一設定的外洩範圍相對集中，卻可能因長期未更新而留下失效參數。選擇哪一種，都不會改變「先驗證用戶端來源」的要求。
Windows 與 macOS 用戶端通常會建立虛擬網路介面，並修改系統路由或 DNS 設定。Android 可以使用系統提供的 VPN 介面，部分用戶端還能搭配永遠開啟模式；iOS 用戶端受系統網路延伸機制管理，切換應用程式與系統休眠後，應重新確認連線狀態。Linux 常見以命令列程序或系統服務運作，設定檔權限、服務日誌與啟動使用者尤其值得檢查。
安裝前應從專案正式頁面或可信任的軟體發佈入口取得用戶端，核對應用程式名稱、開發者資訊與更新來源。不要因為某個安裝套件「已預先設定節點」就跳過來源檢查。預先設定的內容可能已過期，也可能無法確認由誰維護。匯入後還要檢查用戶端要求的權限是否符合功能，例如建立網路連線、傳送通知或在背景維持連線。
不同協定中的憑證形式
Shadowsocks 通常以伺服器位址、連接埠、加密方式與密碼組成設定；VMess 與 VLESS 常見 UUID 這類驗證識別資訊，其中 VLESS 本身不負責傳輸層加密，部署時通常還要搭配 TLS、REALITY 或其他安全傳輸；Trojan 常見以 TLS 連線搭配密碼驗證。Hysteria2 與 TUIC 基於 QUIC 或 UDP 傳輸，也會使用密碼、權杖或與憑證相關的參數。
這些參數名稱不同，保管原則相同：能完成驗證的字串不能公開。協定較新、設定較長或 QR Code 較複雜，並不代表憑證更難外洩。QR Code 只是設定的另一種編碼方式，任何清晰的截圖都可能被重新辨識。
- 確認來源：先確認用戶端來自正式發佈管道，更新也由同一來源提供。
- 檢查匯入內容：核對訂閱網域、節點命名與協定類型，遇到異常重新導向應停止匯入。
- 限制日誌：維持正常排除故障所需的日誌層級，不要長期啟用會輸出詳細設定的除錯模式。
- 連線後驗證：檢查出口 IP、DNS 解析路徑、分流結果與斷線行為。
- 離開前清理：使用臨時裝置結束後，刪除訂閱、設定檔與相關快取。
公共 Wi-Fi下的正確連線順序
公共 Wi-Fi 的主要問題不只是「公開」二字，而是使用者難以確認接入點由誰營運、同名網路是否真實、登入頁面是否遭替換，以及本地網路是否允許裝置彼此探索。機場、飯店、展館與餐飲場所常使用入口網站，要求先接受條款；完成入口網站驗證前，VPN 連線可能暫時無法建立，但這不代表應忽略後續防護。
連線時先向現場標示或工作人員確認網路名稱，不要只選擇訊號最強的同名接入點。進入入口網站後，只完成接入所需的操作，不要在來源不明的頁面填寫與上網無關的帳號資料，也不要接受要求安裝未知憑證、描述檔或遠端管理元件的提示。完成入口網站驗證後，關閉該頁面，再啟動可信任的用戶端。
- 確認接入點：依據現場可靠資訊核對 Wi-Fi 名稱，關閉系統自動加入陌生網路的設定。
- 完成入口網站驗證：只處理連線所需步驟，對憑證安裝與額外軟體要求保持警覺。
- 建立線路：開啟用戶端，選擇合適節點，等待系統顯示網路連線已建立。
- 核對出口：開啟 IP 檢測頁面，確認目前出口與所選地區相符。
- 核對 DNS：檢查網域解析是否仍由本地網路直接處理。
- 再進行登入：完成驗證後，再存取網路銀行、工作系統或其他需要登入的服務。
網頁使用 HTTPS 時，旁路觀察者通常無法直接讀取加密後的頁面內容，但仍可能觀察連線目標、時序與流量特徵。VPN 或加密代理會將已接管的流量封裝在用戶端與線路入口之間；不過，分流至本地出口的應用程式、建立連線前產生的請求，以及斷線後自動恢復的直連流量，仍需個別處理。
若用戶端提供斷線阻擋、永遠開啟或類似功能，可以降低通道意外中斷後流量回到本地出口的機會，但不同平台的實作範圍並不完全相同。有些設定只在用戶端主動執行時生效，有些則會影響入口網站驗證。首次啟用後，應實際中斷線路並觀察應用程式是否停止連線，而不是只相信開關名稱。
DNS 洩漏與分流規則如何驗證
DNS 負責將網域名稱轉換為網路位址。用戶端已建立代理或通道，並不代表 DNS 查詢也一定經由相同路徑。若系統仍將查詢交給本地網路提供的解析器，本地網路可能看到要求解析的網域，也可能回傳與線路出口不一致的結果。這類情況通常稱為 DNS 洩漏或 DNS 路徑不一致。
檢查時不要只看用戶端狀態。先記錄連線前的出口與 DNS 資訊，連線至線路後再重新檢測；接著分別使用瀏覽器與常用應用程式存取測試目標。若出口已變更，但 DNS 仍穩定顯示本地網路的解析路徑，就應檢查用戶端的系統代理、虛擬網卡、遠端 DNS、加密 DNS 與分流 DNS 設定。
分流規則決定哪些請求進入線路，哪些請求維持本地直連。常見依據包括網域、IP 網段、應用程式程序與地區規則。規則模式適合保留本地服務存取，但維護成本較高：網域可能呼叫其他內容傳遞網域，應用程式也可能同時使用網頁介面、媒體介面與登入介面。只將主網域加入規則，可能導致頁面可開啟、圖片載入失敗或登入反覆跳轉。
| 現象 | 可能原因 | 檢查方向 |
|---|---|---|
| 出口已變更，DNS 仍經由本地網路 | 用戶端只設定了應用程式代理，沒有接管系統 DNS | 檢查虛擬網卡模式、遠端 DNS 與系統加密 DNS 的優先順序 |
| 瀏覽器生效，其他應用程式仍直連 | 僅設定瀏覽器代理，應用程式沒有遵循系統代理 | 改用系統通道模式，或為該應用程式補充分流程序規則 |
| 網頁可開啟，但登入或媒體載入失敗 | 相關介面網域遺漏，或不同請求使用了不同出口 | 查看連線日誌，補齊網域規則，並讓同一工作階段維持一致出口 |
| 線路中斷後應用程式仍持續連線 | 未啟用斷線阻擋，或僅涵蓋部分網路介面 | 檢查平台權限，並透過主動中斷測試實際行為 |
- ✅ 連線前後分別檢查出口 IP，避免將快取頁面當成檢測結果。
- ✅ 同時檢查 DNS 路徑，不只確認頁面上顯示的地區。
- ✅ 分別使用瀏覽器與常用應用程式測試，確認接管範圍一致。
- ✅ 修改規則後重新建立連線，讓路由與 DNS 設定完整重新整理。
- ❌ 不要以「節點名稱正確」取代實際的出口檢測。
- ❌ 不要預設所有應用程式都會遵循瀏覽器或系統代理設定。
直連、中轉與IEPL 專線的安全界線
直連線路表示用戶端直接連接遠端伺服器，路徑結構簡單，但表現更受公網路由、壅塞與本地電信商網路影響。中轉線路會先進入較近的入口，再由中轉網路送往出口，通常用於改善路由可控性。IEPL 專線描述的是跨區域承載方式，重點在傳輸路徑與調度，不代表帳號、訂閱或終端裝置會自動獲得額外防護。
無論採用哪種拓撲，用戶端到入口之間都應依具體協定正確建立加密與驗證。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 的設定方式不同，不能只憑「專線」、「中轉」或節點名稱判斷加密狀態。線路拓撲解決的是資料如何抵達出口，憑證管理解決的是誰能使用設定，兩者不能互相取代。
中轉節點還會增加一個需要維運管理的環節，但這不代表它天生更危險或更安全。判斷時應關注用戶端到入口的協定、入口與出口之間的承載方式、DNS 的處理方式，以及服務端的日誌策略。若服務宣稱不記錄日誌或瀏覽內容，應結合公開的隱私說明理解其範圍，不要將一句策略描述延伸成對所有終端、應用程式與第三方網站的保證。
發現外洩或連線異常後的處理流程
異常跡象可能包括訂閱更新突然失敗、節點設定遭意外修改、自己未操作時出現設定變更，或訂閱連結曾進入公開頁面。此時不要只刪除本地用戶端，因為已被複製出去的憑證不會隨本地刪除而失效。處理重點是撤銷舊憑證、建立新憑證，再檢查傳播範圍。
- 保留必要證據：記錄異常發生的時間、頁面位置與錯誤訊息，但不要再次複製完整憑證。
- 修改面板密碼：若帳號密碼可能外洩，先更換為未在其他服務使用的新密碼。
- 重設訂閱：透過服務面板更新訂閱連結或驗證資訊，讓舊連結停止繼續取得設定。
- 重新匯入：在可信任裝置上刪除舊訂閱，再匯入更新後的設定。
- 清理公開副本：刪除聊天附件、公開文件、程式碼紀錄、截圖與日誌中的敏感內容。
- 重新檢查連線：再次檢查出口 IP、DNS、分流，以及斷線後的流量行為。
如果設定曾提交至程式碼儲存庫，僅刪除目前檔案通常不夠，因為歷史提交仍可能保留內容；如果曾傳送至多人對話，也不能假設撤回後所有副本都會消失。正確做法是將舊憑證視為已外洩並完成輪替。對於暫時無法確認影響範圍的情況，應優先撤銷舊訂閱，再繼續排查。
安全使用不依賴複雜操作，而是依賴清楚的界線：帳號密碼控制面板，訂閱連結提供設定，用戶端接管流量，分流規則決定涵蓋範圍，DNS 設定決定解析路徑，線路拓撲決定資料如何抵達出口。逐一驗證每個環節，才能知道問題發生在哪裡，也能在外洩或斷線時迅速採取相應措施。