VPN 是什么：虚拟适配器、隧道和服务器
VPN 是一种在普通互联网连接之上运行的专用网络。VPN 应用会在设备上创建虚拟网络适配器。进入这个适配器的所有流量都会加密，并发往所选国家或地区的服务器。服务器再把这些流量转发给网站。下文依次介绍应用、服务器，以及 VPN 能隐藏什么、改变不了什么。
应用会添加虚拟适配器
手机或笔记本电脑通常经由一个网络适配器发送流量，即 Wi-Fi 或移动数据的适配器。VPN 应用会再添加一个只存在于软件中的适配器。随后，应用要求系统把流量发往这个虚拟适配器。例如在 Android 上，这个适配器由应用自己创建。系统按照应用设定的规则把数据包发给它。
设备上的所有程序共用这个适配器。浏览器、即时通讯应用和后台更新的流量都会进入其中。应用从适配器读取每个数据包并加密。然后，应用通过实际的 Wi-Fi 或移动数据把数据包发送到服务器。这条从应用通往服务器的加密连接叫作隧道。
首次连接时，系统会要求授权。在电脑上，Ben's VPN 还可能要求管理员权限，用于安装虚拟适配器。这些提示只在首次连接时出现。之后，按一个按钮就能开启 VPN。
服务器用自己的 IP 地址发出请求
服务器解密每个数据包，再用自己的 IP 地址转发请求。网站的响应由服务器加密，经隧道传回。设备上的应用解密每个响应，然后交给发出请求的程序。
网站根据 IP 地址推测访问者的所在地。地理位置数据库记录着每个 IP 地址段所属的国家或地区，以及所在城市。开启 VPN 后，网站只能看到服务器的 IP 地址，看不到真实 IP 地址。如果人在芝加哥，却选择了荷兰的位置，搜索引擎可能会改用荷兰语。广告也可能开始显示阿姆斯特丹的商家。
有的服务可能需要知道访问者真实所在的国家或地区。如何把这类服务排除在隧道之外，见下文介绍 Ben's VPN 的一节。
HTTPS 加密内容，VPN 隐藏网站名称
如今，浏览器中的大多数网页都通过 HTTPS 加载。HTTPS 会加密浏览器与网站之间的连接，与是否开启 VPN 无关。Wi-Fi 的所有者和网络运营商都读不到网页文字、密码和消息。
不过，这两方依旧可以看到网站名称。为了查到网站的 IP 地址，设备会向 DNS 服务器发送查询。多数情况下，这个查询完全不加密。浏览器和操作系统都支持加密 DNS，但这项功能常常没有开启。此外，浏览器通常会在每个 HTTPS 连接开始时指明网站名称。这个名称写在名为 SNI 的字段里，在加密开始之前发出。因此，Wi-Fi 的所有者和网络运营商能看到访问了哪些网站，以及访问的时间。他们看不到在这些网站上做了什么。
开启 VPN 后，DNS 查询和网站名称都在隧道内传输。不自带加密的程序发出的流量也会进入隧道。在所在网络看来，这些都只是一条通往服务器的加密连接。
| 数据 | 仅 HTTPS | HTTPS 加 VPN |
|---|---|---|
| 网页文字、密码、消息 | 已加密 | 已加密，到达 VPN 服务器之前还有第二层加密 |
| 网站名称 | 所在网络可以看到 | 所在网络看不到，VPN 服务器可以看到 |
| 真实 IP 地址 | 网站可以看到 | 网站看到服务器的 IP 地址 |
| 不加密的程序发出的流量 | 沿途可以读取 | 所在网络看不到，离开 VPN 服务器后可以读取 |
HTTPS 和 VPN 各自保护不同的数据，两者可以配合使用。设备与网站之间的任何一方都看不到 HTTPS 加密的内容，VPN 服务器也不例外。VPN 则让所在网络看不到这些网站的名称。
企业 VPN 连接办公室，个人 VPN 连接互联网
最早使用 VPN 的是企业，始于 20世纪90年代。IPsec 和 PPTP 协议都是在这十年间制定的。远程员工和分支机构借助这些协议，通过互联网接入办公室网络。“虚拟专用网络”这个名称就源于这种用途。这是建立在公共互联网之上的办公室专用网络。隧道的终点在办公室网络内部，那里有工作邮箱、共享文件夹和内部网站。谁可以连接，由企业决定。
个人 VPN 的工作方式相同，只是服务器背后没有专用网络。服务器仅负责从所选的国家或地区把流量转发到互联网。
第三种方式是在路由器上运行 VPN。这样，家庭网络中的每台设备都会使用隧道，包括无法运行应用的设备。路由器 VPN 页面介绍了如何把路由器连接到 Ben's VPN。
VPN 适用于 4 种情况
- 别人管理的 Wi-Fi。在酒店、火车上或联合办公空间里，Wi-Fi 的所有者是谁并不清楚。网络会记录哪些内容，同样不得而知。开启 VPN 后，网络只能看到一条无法读取的加密连接。
- 网站和应用遭到屏蔽。单个网络（例如候机厅的 Wi-Fi）可能屏蔽某个网站或应用。某国或某地区的所有网络运营商也可能将其屏蔽。使用 VPN 时，请求会从其他国家或地区进入互联网。本地的过滤系统看不出要访问的是哪个网站。如果 Telegram 无法连接，详见 Telegram VPN 页面。
- 出国旅行。有些服务对国外 IP 地址区别对待，或者根本无法打开。选择本国或本地区的位置后，这些服务得到的是本地 IP 地址。
- 从其他国家或地区查看。选择其他国家或地区的位置，就能像当地访问者那样看到自己的网站或广告。
VPN 改变不了的 4 件事
- 自己的账号。登录电子邮件或社交媒体账号后，服务就知道登录者是谁。选择其他国家或地区的位置，也改变不了这一点。
- Cookie 和指纹。VPN 不会删除 Cookie 在浏览器中保存的标识符。浏览器还有由语言、屏幕尺寸和已安装字体构成的“指纹”。在 2010年的一项研究中，大多数受测浏览器的指纹都是独一无二的。换一个 IP 地址并不会改变指纹。
- 网络钓鱼和恶意软件。VPN 无法阻止“支付一小笔派送费”之类的链接打开虚假页面。受感染的文件，开启 VPN 也照样受感染。
- 信任。网络运营商以前能看到的网站名称，现在会经过 VPN 服务器。应选择值得托付这些数据的 VPN 服务商。
协议由 Ben's VPN 选择，3 项设置自行设定
协议决定流量在发往服务器途中呈现出什么特征。Ben's VPN 的 4 种协议是 VLESS + REALITY、XHTTP、Hysteria2 和 Shadowsocks。应用会选择在所在网络中可用的协议和路径。设置中没有切换协议的开关。为了保持连接稳定，必要时应用会开启多跳。开启多跳后，流量先经过第三国的中转服务器。应用基于 Jigsaw 团队开发的 Outline。
应用中有 3 项设置需要自己选择。
- 位置。轻点“位置”，打开“改变国家”窗口，窗口中是可以搜索的位置列表。如果对国家或地区没有要求，轻点“最快的”。应用随后会选择附近的位置。
- 隧道之外的流量。轻点“隧道”，打开“分割隧道”设置。在“手动”模式下，列出不经过隧道、直接访问的 IP 地址、子网和域名。Android 版还有“绕过 VPN 的应用”列表。
- 多跳模式。这项设置位于应用的“账户” → “设置” → “多跳”。我们建议保持“自动”模式。
4 步完成首次连接
安装 Ben's VPN
应用可在手机、平板电脑、电脑和电视上使用。各设备的版本见 Ben's VPN 全平台应用页面。
打开应用
在手机、平板电脑或电脑上首次启动时，没有登录界面。应用会完成初始设置，并创建与这台设备绑定的访客账户。
用“连接”按钮开启 VPN
没有订阅时，这个按钮会打开“购买 Ben's VPN”窗口。在这个窗口中选择套餐并付款。如果已有订阅，轻点窗口顶部的“登录账户”。
选择位置
要连接特定的国家或地区，轻点“位置”，在列表中找到它。如果附近的任何位置都可以，轻点“最快的”。“更改位置时自动连接”复选框默认已勾选，因此 VPN 会立即连接到所选位置。
问题与解答
网络运营商能看出我在使用 VPN 吗？
网络运营商能看到设备与同一个 IP 地址长时间保持连接。访问过哪些网站，网络运营商已经无从得知。较老的协议可以通过数据包的特征识别出来。2022年，研究人员针对 OpenVPN 流量证明了这一点。在 Ben's VPN 中，VLESS + REALITY 把连接伪装成访问真实网站的 HTTPS 连接。
Wi-Fi 密码能像 VPN 一样保护我吗？
Wi-Fi 密码能阻止邻居接入网络。这个密码对网络运营商什么也隐藏不了。DNS 查询和网站名称仍会经过网络运营商的设备。如果不在意这一点，在家使用 VPN 主要是为了打开原本打不开的服务。
VPN 已经开启，网页却打不开，怎么办？
经由服务器的连接质量较差时，应用会显示“连接不佳”提示。轻点提示上的“解决问题”后，应用会建议更换位置。应用也可以查找可用服务器，最多用时 2 分钟。如果问题仍未解决，轻点“支持”打开聊天。客服 7×24 小时在线。
怎样在手机和笔记本电脑上使用同一份订阅？
访客账户只能在创建它的设备上使用。先在该设备上打开“账户” → “绑定电子邮件”。在第二台设备上轻点“连接”，然后在购买窗口中选择“登录账户”。可以通过绑定的电子邮件登录，也可以输入一次性代码。第一台设备会在“在另一设备上登录”中显示代码。代码共 8 位，3 分钟后过期。设备数量不限，平板电脑和电视也能使用这份订阅。
浏览器有无痕模式，为什么还要用 VPN？
无痕模式会在关闭窗口时删除浏览记录和 Cookie。网络运营商依然能看到网站名称，网站也依然能看到真实 IP 地址。VPN 在网络层工作，与无痕模式并不冲突。
