VPN新手安全指南:账号、订阅链接与公共Wi-Fi

账号与订阅链接：分别保护

面板密码与订阅链接不是同一种凭据。前者通常用于管理账户，后者用于让客户端取得线路配置。即使不知道面板密码，持有有效订阅链接的人也可能获取其中的节点地址和认证信息。因此，订阅链接应按敏感凭据保管，而不是当作普通下载地址转发。

订阅链接常把访问令牌放在路径或查询参数中。HTTPS 可以保护传输过程，却不能阻止收件人使用链接，也不能避免链接被聊天记录、浏览器同步或截图保存。二维码只是另一种承载形式；把订阅二维码发到公开群，与直接发出链接具有相似风险。

客户端能正常连接，不代表账号资料已妥善保存。换设备、重装系统或遗失本地配置前，应确认凭据仍能从安全位置找回。不要把唯一备份放在同一台设备的便签里，也不要为方便求助而把整份配置发给陌生人。

账号设置：密码与信息最小化

密码应当独立、足够长且不易猜测。使用密码管理器生成和保存，比在常用密码后面加网站名称更可靠。面板密码不要与邮箱、购物或社交账户共用；其他网站泄露后，重复凭据可能被用于尝试登录。

填写资料前先看字段用途。只提供完成服务所必需的信息，不在昵称、备注或工单里补充真实姓名、证件资料与无关的工作信息。找回方式也应提前核对：如果服务不采用邮箱找回，就更需要保存好账号凭据，并了解官方提供的恢复流程，而不是等到无法登录时才寻找入口。

• ✅ 从已确认的官网进入面板，检查地址栏中的完整域名。
• ✅ 为面板设置独立密码；若提供额外验证，先了解并妥善保存恢复资料。
• ✅ 在共享设备使用后退出账户，避免保存密码和会话。
• ❌ 不把密码、订阅令牌或恢复资料发给自称客服的陌生联系人。

HTTPS 锁形标记说明连接使用加密，不等于网站身份可信。仿冒网站也可能取得有效证书。遇到要求重新登录的消息，宜自行打开已保存的官网入口核实，不沿着陌生消息里的链接输入凭据。

客户端导入：来源与权限

客户端会接触订阅凭据，并影响流量去向。优先从服务帮助页指向的项目官方发布渠道或正规应用商店获取，核对项目名称、开发者与平台版本。不要仅凭搜索结果排名下载，也不要安装来源不明的修改版。操作步骤可对照使用教程，而不是照搬陌生截图。

Windows 与 macOS 客户端可能使用系统代理，也可能提供虚拟网卡接管模式；前者主要影响遵循系统代理的应用，不等于整台设备所有流量都已纳入代理。移动平台常通过系统的 VPN 配置授权建立流量通道，授权界面本身并不能证明客户端可信。Linux 的命令行配置还要留意文件权限，避免其他本地用户读取密钥。

导入前确认客户端支持配置中的协议与格式。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 不是可任意互换的名称；支持其中一种，也不代表能直接读取另一种的订阅。协议名称同样不能独立说明安全边界，例如 VLESS 本身不提供载荷加密，通常需要结合 TLS 等传输保护判断实际配置。

导入后检查是否带入远程规则、脚本或额外订阅。它们可能改变分流行为，不能因为与节点配置一起出现就默认可信。遇到要求安装根证书或关闭证书校验的步骤，应先停止并核实目的；一般的代理连接不需要通过受信任根证书来解密浏览器的 HTTPS 内容。

公共 Wi-Fi：接入前后分别检查

公共 Wi-Fi 的风险不只来自网络没有密码。名称相似的伪装接入点、被修改的认证页面、局域网内的恶意设备，都可能影响访问过程。接入前通过场地方确认网络名称，关闭不必要的自动加入；系统提供公共网络配置时，关闭网络发现和文件共享。

需要网页认证的网络，可能在代理建立前要求打开门户页面。此时只完成必要的联网操作，不在陌生门户输入其他网站的密码。若页面要求安装证书、下载不明程序，或浏览器持续出现证书警告，应停止操作并核实网络，而不是反复忽略提示。

可信的加密通道可以减少本地网络对通道内流量的窥探与篡改机会，但不能替代 HTTPS、网站身份核验和设备安全。使用代理后，部分信任从本地网络转向了服务出口；钓鱼网站、恶意附件与浏览器扩展仍然可能窃取资料。

1. 确认接入点，完成必要的网络认证，避免在认证前处理敏感业务。
2. 启动可信客户端，确认所需流量进入预期通道，再访问目标服务。
3. 检查网站域名与证书提示；出现异常时停止输入密码或支付资料。
4. 离开后断开网络，取消自动加入，并按需移除已保存的公共网络。

设备休眠、切换接入点或重新联网后，连接状态可能变化。若需要处理敏感资料，应重新核验，而不是把先前显示的“已连接”当成持续有效的证明。客户端若提供断线阻断功能，须在理解其作用后启用，并实际测试断线时能否阻止意外直连。

分流与 DNS：连接成功之后

“能打开网页”只证明某次请求成功。规则模式可能让部分网站直连，全局模式也可能受进程排除、系统组件或客户端实现影响。若某个应用没有走代理，应先检查它是否遵循系统代理、是否命中直连规则，以及虚拟网卡模式是否真正启用，不要只反复更换节点。

DNS 用于把域名解析为地址。所谓 DNS 泄漏，通常是指解析请求没有按预期进入受保护路径，而是交给本地网络或其他意外的解析器。浏览器的加密 DNS、系统解析与客户端 DNS 设置可能各自生效，需要结合实际配置判断。检测页显示陌生解析器，不足以单独证明泄漏，也可能是所用服务的上游解析器。

可以先通过网络检测查看出口，再对照客户端的连接记录与分流命中情况。分别测试浏览器和实际使用的应用；若设备同时使用不同地址族，也要核对它们是否遵循预期路径。单次检测通过不是永久结论，更新规则、切换模式或更换网络后都值得复查。

发生泄露：撤销凭据再清理

发现链接被公开、配置误传或面板异常登录时，先判断暴露的是哪类凭据。删除消息只能减少继续传播，无法收回别人已经复制的内容。不要等到出现明显流量异常，才开始撤销访问能力。

1. 保护面板。从可信设备进入官网修改密码；若存在会话管理功能，退出不认识的会话。共用过该密码的其他账户也应分别更换。
2. 撤销订阅。查找面板中的重置或撤销功能；没有明确入口时，通过官方帮助渠道确认处理方式。不要假定修改登录密码会同时改变订阅令牌。
3. 确认节点凭据。询问重置是否仅更换订阅地址，还是也使旧节点认证信息失效。已经下载的配置可能继续可用，具体取决于服务端撤销机制。
4. 更新自用设备。用新配置替换旧订阅，清理旧文件、二维码和不再需要的同步副本。若服务支持验证，确认旧入口及旧配置已失效。
5. 排查来源。检查共享文档、截图、浏览器扩展和在线转换工具，避免新凭据通过相同渠道再次外泄。

向客服提交问题时，先描述系统、客户端名称、报错内容及发生场景。日志只提供相关片段，遮盖完整订阅地址、认证字段、账户标识与无关访问记录。不要公开上传整份配置让他人“帮忙检查”；需要进一步信息时，可经帮助页面确认官方沟通入口。

服务的“不记录日志”属于隐私策略陈述，不等于设备、浏览器、目标网站和第三方工具都不留痕。日常最有用的做法仍是独立密码、限制凭据传播、使用可信客户端，并在网络变化后核对实际流量路径。保护重点是持续缩小暴露面，而不是依赖某个协议名称或单次检测结果。