公共 Wi-Fi 上的 VPN：它能保护你免受什么，不能保护什么

如今几乎每个网站都使用 HTTPS，所以经典的“黑客在咖啡馆里读取你的密码”的场景已经少见。但开放的 Wi-Fi 仍然会给网络所有者和你的邻座带来比你家里的网络多得多的机会。

#使用 HTTPS 后仍然存在的风险

• 虚假热点（evil twin）。 攻击者创建一个与咖啡馆同名的网络。“记住”了该网络的手机会自动加入它。
• 元数据。 HTTPS 加密的是内容，但 DNS 查询（通常是未加密的）和 TLS 握手中的网站名称，对网络所有者是可见的：他们知道你访问了哪些网站以及何时访问。
• DNS 欺骗。 网络可以用虚假的地址来回应 DNS 查询，把你引向某个网站的钓鱼副本。HTTPS 通常能发现这一点，但并非每个应用都会严格检查证书。
• 未加密的应用。 旧的应用和设备仍然通过 HTTP 发送数据。
• 针对同一网络中设备的攻击。 在开放网络上，你的笔记本电脑对其他人是可见的；存在漏洞的服务可能成为攻击目标。

#VPN 的作用

VPN 会建立一条从你的设备到 VPN 服务器的加密隧道。对咖啡馆的网络而言，你的所有流量——包括 DNS——看起来都是一个加密连接。网络所有者看不到你打开了哪些网站，也无法篡改应答。

在 Colitu 中，隧道由 TLS 1.3（Hysteria2、VLESS Reality）、TLS 1.2 或 1.3（Trojan）或 Shadowsocks 2022 的 AEAD 加密来保护。详情见安全页面。

#VPN 不能做什么

• 如果你自己在虚假网站上输入密码，它无法保护你免受钓鱼攻击。
• 它不能清除恶意软件，也无法保护已经被攻陷的设备。
• 它不会让你在已登录的网站面前变得匿名。

#正确的步骤顺序

1. 加入 Wi-Fi，如果有的话，先完成该网络的登录页面（强制门户）。在此之前 VPN 无法连接。
2. 立即开启 VPN，然后再打开邮件和即时通讯软件。
3. 在 Android 上，开启始终开启的 VPN 和屏蔽没有 VPN 的连接；在 Windows 上，开启断网保护 (kill switch)。
4. 关闭对开放网络的自动加入，并忘记不再使用的已保存网络。
5. 在公共网络上关闭文件和打印机共享（Windows 为此提供了“公用网络”配置文件）。

#检查一下

打开我的 IP 是什么：开启 VPN 后，页面显示的是 Colitu 服务器的地址，而不是咖啡馆的地址。