VPN是什么

虚拟专用网络（Virtual Private Network，VPN）是在共享的 IP 网络上建立逻辑专用连接的技术。VPN 客户端与网关、两个网络网关或其他授权端点协商连接，并把选定的网络流量封装后送入隧道。具体协议决定认证、密钥协商、加密、完整性校验和路由方式。

主要组成

• 端点：发起或终止隧道的客户端、服务器或网络网关。
• 隧道：承载内层 IP 流量的逻辑通道，通常由外层 IP 数据报在公共网络上传输。
• 安全机制：验证通信对端身份，并按协议提供机密性、完整性和密钥更新。
• 路由与策略：决定哪些地址、应用或设备的流量进入隧道，以及访问对端网络时允许哪些服务。

常见用途

远程接入 VPN 将单个用户设备接入组织网络；站点互联 VPN 将两个或多个网络通过网关连接；个人 VPN 客户端可将设备选定的外网流量转发到 VPN 服务端。远程接入和站点互联的路由边界不同，详见远程接入与站点互联。

安全边界

VPN 只能在其端点和策略范围内提供保护。它不自动保证匿名，不会清除浏览器标识、账户身份或设备恶意软件，也不替代 HTTPS 等端到端应用加密。VPN 服务端运营者仍处于信任边界内，可能观察连接时间、流量大小、来源地址和未另行加密的通信内容。配置错误还可能使 DNS、IPv6 或部分路由流量绕过隧道。

阅读顺序

• VPN、代理与 HTTPS：区分作用层次和保护范围。
• 隧道与封装：理解内层报文如何经外层网络传送。
• 加密与认证：理解身份验证和流量保护。
• WireGuard、OpenVPN、IPsec 与 IKEv2：了解常见实现。

参考资料

Apple Network Extension：VPN 概念与 API；NIST SP 800-77 Rev. 1：IPsec VPN 指南。