先分清账号与订阅链接
这份 VPN 新手安全指南先回答最容易忽略的问题：订阅链接不是普通的网页收藏地址。客户端通常通过它获取线路配置；链接中可能包含用于识别订阅的令牌。拿到链接的人，即使不知道你的账号密码，也可能在自己的客户端导入配置。因此，账号密码与订阅链接都应按敏感凭据保管，但外泄后的处理方式并不完全相同。
密码用于进入账户，应保持独立，避免与常用网站共用。订阅链接用于配置客户端，不要贴进公开论坛、截图、工单的公开区域或未经确认的在线转换工具。即便截图只露出链接的一部分，也要检查二维码、浏览器地址栏、客户端日志和分享预览中是否还包含完整地址。复制给自己的另一台设备时，优先使用自己能控制的安全传递方式；导入完成后清理临时聊天记录或剪贴板历史。
| 内容 | 通常用途 | 保管与外泄后的动作 |
|---|---|---|
| 账户密码 | 登录账户、管理服务 | 交给密码管理器保存；怀疑外泄时从官方入口修改，并检查账户活动。 |
| 订阅链接或二维码 | 让客户端获取线路配置 | 只在可信客户端导入；怀疑外泄时查看是否能重置链接或令牌，必要时联系服务支持。 |
| 支付与身份资料 | 完成明确的账户操作 | 只在确认域名及用途后填写；不要因弹窗或陌生消息催促而提交。 |
在公共 Wi-Fi 上，先连接再访问
公共 Wi-Fi 的名称容易被模仿。看到与场所名称相近的热点，不要只凭名称判断归属；先向现场提供方核对网络名称。关闭不必要的自动加入，避免设备离开场所后又连上同名网络。若网络需要打开门户页面同意使用条款，先完成该网络本身的接入流程，再启动 VPN 客户端，确认客户端确实显示已连接，最后访问需要登录的网站。
这个顺序并不表示门户页面值得信任。门户要求输入与联网无关的账户凭据或支付资料时，应停止并向场所核实。连接 VPN 后，设备到 VPN 服务器之间的流量有相应的隧道保护；但目标网站是否真实，仍需由浏览器的 HTTPS 连接、证书检查和你对域名的核对共同判断。浏览器弹出证书警告时，不要为了继续访问而直接忽略警告。
共享网络还可能暴露设备的局域网服务。若系统提供“公共网络”配置，优先选用它，并关闭当前不需要的文件共享。处理敏感资料前，检查客户端是否保持连接；从休眠中恢复或在网络之间切换后尤其值得重新确认。若 VPN 意外断开，而客户端提供断线保护选项，可以按自己的用途评估是否启用，不要只凭先前一次连接成功就推断之后的流量仍走隧道。
- ✅ 核对热点名称和门户页面的用途，不在陌生页面填写账户资料。
- ✅ 完成网络接入后再连接 VPN，访问网站前查看客户端连接状态。
- ✅ 保留浏览器证书警告，不通过忽略警告来“修复”网页。
- ✅ 切换网络或唤醒设备后重新检查连接，并关闭不需要的局域网共享。
导入订阅时检查客户端与权限
客户端下载和订阅导入是两个不同步骤。先从服务文档或客户端项目的可信发布渠道确认程序来源，再核对客户端是否支持订阅中使用的协议。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同的连接协议或方案名称；看到客户端声称“支持订阅”，不代表它能正确处理其中每一种配置。导入后查看是否出现预期线路，并用实际连接结果验证，而不是仅看导入成功的提示。
有些客户端会请求系统网络扩展或 VPN 配置权限，以便接管指定流量；这与网页请求读取通讯录、文件等权限不是同一回事。安装时应阅读权限说明，发现与网络连接用途无关的要求就暂停。桌面系统与移动系统的设置入口、后台运行限制不同，不能照搬另一平台的截图逐项操作。需要平台对应的导入步骤时，可从使用指南进入，再对照自己设备上的实际提示。
不要为了让一条线路“连通”就随意关闭证书验证。采用 TLS 的配置需要正确验证服务端身份；验证失败可能意味着配置、系统时间或网络环境有问题，应先排查原因。协议名称也不能替代客户端来源审查：一份被改写的配置即使采用熟悉的协议，仍可能把连接导向非预期的服务器。
分流与 DNS：确认实际走向
“客户端已连接”不等于设备上的所有访问都经过同一路径。全局模式通常让更多流量进入隧道；分流模式则按规则决定哪些请求经过代理、哪些直接连接。规则可能按域名、地址或应用生效。如果你希望某个网站经由 VPN 访问，就需要检查当前模式和规则是否覆盖该网站。反过来，局域网设备、公司内部系统等也可能需要直连；盲目改成全局模式未必符合实际需求。
DNS 负责把域名解析成地址。某些设置下，网页连接走了预期线路，域名查询却仍交给本地网络处理，这通常被称为 DNS 泄漏。可以在连接前后分别使用可信的 DNS 检查页面观察解析路径，但不要只看页面给出的“安全”标签：结合客户端的 DNS 选项、系统设置和分流规则，判断出现的解析服务器是否符合你的预期。浏览器自身的加密 DNS 设置也可能改变检查结果。
线路类型同样不能代替这些检查。直连是设备连接到目标线路入口；中转会在路径中增加转发环节；IEPL 专线描述的是特定网络承载方式，并不意味着浏览器可以不验证网站证书，也不意味着分流规则自动正确。选择线路时应先明确用途，再核对客户端实际路由与 DNS 行为，而不是把“专线”当作隐私设置的总开关。
- 连接目标线路，记录客户端显示的模式与当前启用的规则。
- 访问需要使用的网站，确认网页域名、证书状态与登录页面符合预期。
- 检查 DNS 解析路径；若结果不符，回到客户端及系统设置核对 DNS 和分流选项。
- 更换网络后重复关键检查，因为网络环境变化可能影响连接和解析。
哪些信息不该随手填写
VPN 不会替你判断表单是否属于真正的网站。收到“订阅即将失效”“线路需要验证”等消息时，不要直接跟随消息里的链接提交密码、订阅地址或支付资料。自己打开已保存的官方入口，核对域名与账户状态；页面要求提供的信息如果与正在进行的操作无关，就先停下来确认。不要把订阅链接当成故障截图的一部分，也不要为了获取“加速检测报告”上传完整配置文件。
在公共网络上登录账户，尤其要留意跳转链路：一个看起来像登录页的弹窗，可能是热点门户、网页广告或第三方页面。地址栏显示的域名比页面上的品牌图片更重要。若已经在可疑页面输入密码，应从自己确认过的入口修改密码；若泄露的是订阅链接，则检查账户内是否提供链接重置方式。没有对应入口时，联系服务支持并说明泄露的是哪类凭据，不必再次发送完整链接。
隐私习惯也包括减少不必要的提交。服务若明确无需邮箱地址，就不必因为第三方教程的提示而额外填写邮箱。对任何站点，先看这项信息是否是当前操作必需的；对不确定的页面，宁可退出后重新从可信入口进入。
出问题后的处理顺序
发现异常时，先区分“连接故障”和“凭据可能外泄”。单纯无法连接，可以核对网络接入、客户端版本、订阅有效状态及线路配置；不必把密码发给他人求助。如果发现订阅链接被公开，先保存必要的记录，再尝试在账户内更新链接或联系支持处理。若同一个密码还用于其他网站，也要分别修改那些账户的密码，避免一个入口的问题扩散。
如果是在可疑网页填写了支付或身份资料，应尽快通过相应机构的正式渠道处理，并保留页面地址、时间和相关通知以便核查。清理浏览器记录不能撤回已经提交的数据；卸载客户端也不能使已外泄的订阅令牌失效。处理时针对泄露的内容采取动作，比反复切换线路更有效。