VPN 新手安全基礎：帳號、訂閱連結與公共 Wi-Fi 的正確保管方式

VPN 新手安全不只取決於用戶端是否顯示「已連線」。帳號密碼、訂閱連結、節點設定、DNS 請求與分流規則共同決定實際風險。最容易被忽略的是訂閱連結：它通常可以直接取得完整節點設定，取得連結的人可能不必登入網頁後台，也能在相容用戶端中使用該訂閱。因此，訂閱連結應視為存取憑證妥善保管，而不是當成普通網址隨意轉發。

公共 Wi-Fi 又增加了另一層問題。網路名稱可能相似，登入頁面可能要求填寫不必要的資訊，本地網路中的其他裝置也不一定可信。VPN 可以加密裝置到代理入口之間由用戶端接管的流量，但不能代替使用者辨識釣魚網站、修復弱密碼，也不能阻止使用者主動把訂閱內容貼到公開位置。理解這些界線，比只看「加密等級」更實用。

帳號與訂閱連結各自保護什麼

帳號憑證通常用於登入服務後台、查看方案、取得訂閱、下載用戶端或提交工單。訂閱連結則供用戶端讀取節點名稱、伺服器位址、連接埠、協定參數與驗證資料。兩者用途不同，但都不適合公開。只修改後台登入密碼，不一定能讓已外洩的訂閱立即失效；是否失效取決於服務後台是否同步輪換訂閱憑證。

對象	通常包含或控制的內容	外洩後的主要風險	建議處理方式
帳號密碼	後台登入權限、方案資訊、訂閱管理與工單入口	他人可能登入後台、讀取訂閱或變更憑證	使用獨立密碼；發現異常後修改密碼並檢查後台狀態
訂閱連結	供用戶端取得節點設定的存取位址	他人可能匯入節點並消耗方案流量	避免轉發；外洩後在後台重設並重新匯入
單一節點設定	伺服器位址、連接埠、協定與驗證參數	對應節點可能遭未授權使用	僅在可信任用戶端中匯入，不公開設定 QR Code 或文字內容
用戶端記錄	連線時間、節點名稱、錯誤訊息與網路環境線索	完整記錄可能暴露訂閱位址或本地網路資訊	提交工單前檢查內容，只保留排查所需的部分

註冊時只提供必要資訊

服務要求的資訊越少，使用者需要長期保護的資料也越少。VPN71 註冊不需要電子郵件地址，使用使用者名稱與密碼即可建立帳號。使用者名稱不要直接沿用其他重要服務的公開身分，密碼也不要與社群平台、雲端硬碟或支付帳戶共用。如此即使某處憑證外洩，也不容易形成跨站連鎖影響。

密碼管理器適合保存隨機且獨立的密碼，但主密碼本身仍要妥善保管。如果使用瀏覽器保存憑證，應先確認裝置登入帳戶、瀏覽器同步範圍與裝置鎖定畫面都由本人控制。公用裝置不適合登入服務後台，也不適合匯入長期有效的訂閱。

✅ 為 VPN 後台設定獨立密碼，不與其他網站重複。
✅ 將訂閱連結視為金鑰，只貼到可信任用戶端的訂閱匯入欄位。
✅ 分享排錯截圖前，遮住使用者名稱、訂閱位址、驗證欄位與 QR Code。
❌ 不要把完整設定上傳到公開程式碼儲存庫、線上解碼工具或共用筆記。
❌ 不要使用來源不明的網頁代為解析訂閱內容。

判斷：帳號密碼保護後台，訂閱連結保護用戶端使用權。修改其中一項不能想當然地取代另一項，外洩後應分別檢查並輪換。

訂閱連結如何保存、匯入與重設

訂閱連結通常以 HTTPS 位址呈現，複製後可以由 Clash 系列用戶端、Shadowrocket 類用戶端或其他相容工具讀取。不同用戶端對訂閱格式、規則組與協定的支援不完全相同，匯入成功只代表格式已被辨識，不代表所有節點都能連線。匯入時應從服務後台複製原始連結，直接貼到用戶端，不要經過短網址、QR Code 產生網站或陌生的格式轉換頁面。

如果用戶端支援系統安全儲存，應優先使用正式發布且來源明確的版本。Windows、macOS 與 Linux 上的桌面用戶端通常能顯示更完整的連線記錄與系統代理狀態；iOS 與 Android 用戶端受系統網路延伸功能和背景策略影響，切換網路後可能需要重新確認通道狀態。無論使用哪個平台，訂閱位址都不應出現在用戶端名稱、公開備註或截圖標題中。

安全匯入的實際順序

從本人裝置進入服務後台，確認瀏覽器位址與憑證提示正常。
複製訂閱連結，不要在聊天視窗、雲端剪貼簿歷程或公開文件中轉。
開啟可信任用戶端，透過「訂閱」或「遠端設定」入口貼上連結。
更新訂閱後檢查節點名稱與協定是否正常顯示，再選擇需要的線路。
完成連線後清理不必要的剪貼簿內容，並關閉仍顯示訂閱位址的頁面。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 都可能出現在跨境網路工具中，但它們不是可以任意互換的同一種設定。Shadowsocks 使用預先共用的驗證資訊；VMess 與 VLESS 常見於 Xray 生態系；Trojan 通常透過 TLS 形式傳輸；Hysteria2 與 TUIC 著重於基於 QUIC 的傳輸。用戶端必須支援對應協定及服務端實際使用的參數，否則即使伺服器位址正確，也可能握手失敗。

外洩後為什麼要重設

刪除聊天記錄只能減少後續傳播，不能撤回已被複製的內容。重設訂閱的核心是讓舊憑證失效，並產生新的訂閱入口。完成重設後，舊用戶端可能停止更新或無法連線，這是正常的憑證輪換結果。此時應刪除舊訂閱，從後台重新取得連結，再逐一匯入本人仍在使用的裝置。

重設後還應觀察方案流量和裝置使用情況是否恢復正常。如果異常仍然存在，應同時修改後台密碼、登出不再使用的裝置，並向服務支援提供必要的錯誤資訊。提交資料時可以說明平台、用戶端名稱、線路名稱和錯誤提示，但不要在普通文字中附上完整訂閱連結。

判斷：訂閱連結一旦進入無法控制的傳播範圍，就應按已經外洩處理。重設比反覆詢問「對方有沒有保存」更可靠。

公共 Wi-Fi 的風險與連線順序

公共 Wi-Fi 的風險不只來自傳輸竊聽。攻擊者可能設定名稱相近的存取點，引導使用者連線到錯誤網路；登入頁面可能仿冒常見入口網站；本地網路也可能允許裝置彼此探索。HTTPS 與 VPN 都能降低部分傳輸風險，但不能代替使用者判斷存取點是否由場所營運方提供。

連線前應向現場標示或工作人員核對網路名稱。遇到多個相近名稱時，不要只選擇訊號最強的一個。如果登入頁面要求提供與上網無關的敏感資料，應停止操作並改用可信任網路。系統提示憑證異常時，也不要忽略警告繼續存取後台、支付或其他重要帳戶。

更穩妥的連線流程

確認公共網路名稱，關閉裝置自動加入未知開放網路的設定。
連線到網路並完成必要的入口網站驗證，但暫時不要開啟重要帳戶頁面。
啟動可信任 VPN 用戶端，選擇線路並等待系統顯示通道已建立。
檢查網頁是否正常使用 HTTPS，再進行一般瀏覽或帳戶操作。
離開場所後中斷網路，並從已知網路清單中移除不再需要的存取點。

有些公共網路會在 VPN 建立前要求先通過入口網站。此時短暫存取入口網站是為了取得網路連線權限，不代表後續流量已進入 VPN。完成入口網站操作後應立即連線用戶端。如果通道無法建立，可以先檢查網路是否確實放行，再更換用戶端支援的線路或傳輸方式，不要任意關閉系統安全檢查。

DNS 外洩、分流規則與系統代理

瀏覽器存取網域名稱前，通常需要透過 DNS 將網域解析為網路位址。所謂 DNS 外洩，是指原本應由代理通道處理的解析請求，仍傳送給本地網路或其他非預期的解析器。這可能暴露存取網域的線索，也可能因本地解析結果與代理出口地區不一致，導致網站判斷異常。

是否發生 DNS 外洩，不能只看用戶端按鈕顏色。用戶端可能執行於系統代理模式、虛擬網卡模式，或僅代理特定應用程式的模式。系統代理主要影響遵循代理設定的程式；虛擬網卡模式通常能接管更廣泛的網路流量；應用程式內代理只涵蓋對應應用程式。某些軟體會自行發出 DNS 請求或繞過系統代理，因此需要結合用戶端記錄與 DNS 檢測結果判斷。

分流不是「連線一半」

分流規則決定哪些請求走代理、哪些請求直接連線。合理分流可以讓本地服務使用本地網路，讓需要國際線路的請求進入代理。但規則過時、網域比對錯誤或應用程式自行選擇連線方式，都可能產生與預期不同的出口。遇到網站地區判斷異常時，應先檢查目前模式、套用的規則和 DNS 策略，而不是反覆切換節點碰運氣。

連線模式	主要涵蓋範圍	常見遺漏	適合的檢查方法
系統代理	遵循作業系統代理設定的應用程式流量	自行連網或忽略系統代理的程式	對照應用程式記錄與用戶端連線記錄
虛擬網卡	由系統網路堆疊交給虛擬介面的流量	設定錯誤的排除項目、本地網路流量	檢查路由、DNS 與規則套用結果
應用程式內代理	單一瀏覽器或應用程式自行產生的請求	其他應用程式及系統背景請求	分別比較應用程式內外的出口表現
規則分流	依網域、位址或規則集決定出口	規則過期、比對順序錯誤或遺漏網域	查看特定請求套用了哪條規則

✅ 檢查用戶端採用的是全域、規則還是直連模式。
✅ 查看目標網域套用的分流規則與實際出口。
✅ 確認 DNS 請求由預期的用戶端策略處理。
❌ 不要把「網頁能開啟」直接等同於所有流量都經過代理。
❌ 不要在不了解作用的情況下複製陌生規則並授予系統網路權限。

「軍用等級加密」能解決什麼，不能解決什麼

「軍用等級加密」是常見的宣傳說法，但不是完整的安全說明。加密演算法只是連線安全的一部分，實際效果還會受到協定實作、驗證方式、金鑰保管、用戶端來源、系統權限與服務端設定影響。對一般使用者而言，更重要的問題是：流量在哪一段被加密、DNS 是否依預期處理、用戶端是否可信，以及訂閱憑證是否外洩。

VPN 通道通常用於保護裝置到代理入口之間由其接管的流量，減少本地網路直接讀取傳輸內容的機會。連線到 HTTPS 網站後，瀏覽器與網站之間還存在應用程式層加密。兩者作用可以疊加，但不能互相取代。VPN 服務能夠看到和處理的中繼資料範圍，也取決於服務架構與隱私策略；使用者應閱讀服務對記錄、故障紀錄與帳戶資料的說明。

加密無法阻止釣魚頁面誘導使用者輸入密碼，無法判斷下載檔案是否可信，也無法修復已感染惡意程式的裝置。如果瀏覽器擴充功能擁有過高權限，或使用者主動安裝來源不明的根憑證，單純連線 VPN 也不能消除這些風險。同樣地，訂閱連結在複製前可能透過安全通道傳輸，但一旦被使用者貼到公開位置，加密鏈路不會代替使用者撤回它。

評估 VPN 安全時，應分開檢查「傳輸是否加密」、「憑證是否妥善保管」、「用戶端是否可信」和「規則是否依預期運作」，不要用單一宣傳術語取代完整判斷。

協定選擇與安全界線

不同協定的設計目標和網路適應性有所差異。Trojan、VLESS 等設定可能結合 TLS；Hysteria2 與 TUIC 使用基於 QUIC 的傳輸；Shadowsocks 著重輕量代理；VMess 屬於較成熟的代理協定生態系。協定名稱本身不能證明線路品質或營運可信度，同一協定也可能因參數、用戶端實作和服務端設定不同而有不同表現。

IEPL 專線、中轉線路與直連線路描述的是傳輸路徑，而不是加密演算法。IEPL 專線通常將特定跨境鏈路作為傳輸資源；中轉線路先到入口節點，再轉往出口；直連線路則由使用者網路直接連接境外伺服器。路徑會影響網路穩定性、繞行情況與故障點，但帳號安全、訂閱保管和用戶端可信度仍需分別處理。

判斷：加密可以保護符合條件的傳輸過程，但不會自動解決釣魚、弱密碼、惡意軟體、錯誤分流和訂閱外洩。安全來自多項設定共同正確，而不是來自單一標籤。

日常檢查與異常後的處理清單

新手不需要每天研究協定細節，但應建立固定的檢查習慣。安裝用戶端時確認來源，匯入訂閱時避免第三方中轉，連線後確認模式和 DNS，分享記錄前刪除憑證。更換裝置或停止使用某台裝置後，應刪除其中的訂閱設定，並清理仍然保存的後台登入狀態。

出現異常流量、陌生設定變更或無法解釋的連線記錄時，處理順序應從憑證開始，而不是只重新安裝用戶端。先重設訂閱，再修改後台密碼；接著刪除舊設定並重新匯入；最後檢查常用裝置和瀏覽器擴充功能。如果問題仍然存在，提交工單時說明作業系統、用戶端、線路名稱、連線模式與錯誤提示，避免附上完整憑證。

✅ 從專案官網、系統應用程式商店或服務文件指定的來源取得用戶端。
✅ 訂閱只保存在本人控制的裝置與可信任的密碼管理工具中。
✅ 使用公共網路時先完成必要的連線程序，再建立 VPN 通道。
✅ 定期查看分流模式、DNS 策略與不再使用的設定。
✅ 外洩後重設訂閱，並在所有仍需使用的裝置上重新匯入。
❌ 不要把節點 QR Code、訂閱文字或完整記錄當作公開求助資料。

安全設定的目標不是讓風險消失，而是減少憑證暴露、縮小異常影響範圍，並讓問題發生後能夠快速恢復。將帳號、訂閱、用戶端、公共網路和分流設定分開管理，遇到故障時就能更準確地判斷問題位於登入權限、設定讀取、網路路徑還是網域解析環節。