公共WiFi使用VPN：保護範圍與使用方法
VPN是保護公共WiFi連接最有效的單一工具。它在流量到達網絡之前將其全部加密——這意味著竊聽者、中間人攻擊者和惡意熱點運營者只能看到無法利用的加密數據。以下說明VPN的作用、如何選擇，以及如何在香港設定自動保護。
VPN是保護公共WiFi連接最有效的單一工具。它在流量到達網絡之前將其全部加密——這意味著竊聽者、中間人攻擊者和惡意熱點運營者只能看到無法利用的加密數據。以下說明VPN的作用、如何選擇，以及如何在香港設定自動保護。
VPN（虛擬私人網絡）在您的設備與VPN伺服器之間建立一條加密隧道。您設備上的所有流量——每個HTTP請求、DNS查詢和數據包——在離開設備並通過WiFi網絡之前均已加密。WiFi接入點以及任何監控該網絡流量的人，只能看到您的設備與VPN伺服器之間流動的加密數據。他們看不到您瀏覽的網站、通訊內容或您提交的憑證。VPN伺服器解密您的流量後，將其轉發至實際目的地，再將加密回應傳回您的設備。
這種架構直接解決了公共WiFi的核心漏洞。被動竊聽攻擊——攻擊者在開放網絡上捕獲並讀取未加密流量——因所有流量均已加密而失效。依賴攔截和讀取流量的中間人攻擊也同樣無效。即使是SSL降級攻擊（將HTTPS降級為HTTP），也能得到緩解，因為無論VPN伺服器與目標網站之間的連接是否使用HTTPS，您的設備與VPN伺服器之間的流量始終保持加密。DNS洩露——設備在VPN隧道外發送DNS查詢——可由包含DNS洩露保護的VPN加以防止，該功能通過加密隧道路由DNS查詢，而非使用您的互聯網供應商 ↗的默認DNS伺服器。
VPN不能讓您隱形，也不能在公共WiFi上提供全面安全保護。它無法防止已安裝在您設備上的惡意軟件，無法阻止網絡釣魚攻擊（這類攻擊依賴社交工程而非網絡攔截），也無法保護您免受針對VPN伺服器本身的攻擊。使用VPN時，您同樣需要信任VPN服務商不會記錄或濫用您的流量——這正是選擇信譽良好、通過獨立審計確認無日誌政策的服務商的重要原因。應對免費VPN保持高度警惕，因為許多免費VPN通過收集和出售用戶數據來盈利——而這正是您使用VPN所要防範的結果。
對於香港用戶而言，在公共WiFi上使用VPN最重要的考量標準包括：經獨立審計（而非僅憑聲稱）的無日誌政策、連接至日本、新加坡或韓國區域伺服器的高速連接以降低延遲、可靠的iOS和Android應用程序，以及在公共網絡上自動啟動的自動連接功能。符合以上所有標準的主要選擇包括NordVPN、ExpressVPN、Mullvad和ProtonVPN。四者均通過獨立安全審計，發布透明度報告，並提供香港或區域伺服器選項，從香港大多數地區連接均能獲得良好性能。
NordVPN和ExpressVPN是使用最廣泛的選擇，擁有最廣泛的伺服器網絡，適合在亞洲各地或國際間頻繁出行的用戶。兩者均支持WireGuard協議——WireGuard比舊版OpenVPN和IKEv2協議更快、更省電，對通勤時使用移動設備尤為重要。NordVPN在香港本地設有伺服器（在加密公共WiFi流量的同時保留本地IP地址），並在日本和新加坡設有伺服器以滿足國際訪問需求。ExpressVPN的Lightway協議雖為專有技術，但因其在移動網絡信號不穩定時的出色表現而廣受好評——這在穿梭於各站之間的港鐵網絡上尤為常見。
Mullvad是注重私隱、將最少數據收集置於首位的用戶的理想選擇。Mullvad創建帳戶無需電子郵件地址——您以隨機生成的帳號購買訂閱並匿名付款，接受現金、加密貨幣及匿名支付方式。Mullvad在亞洲的伺服器數量少於NordVPN或ExpressVPN，但在日本和新加坡維持穩定的伺服器可用性。ProtonVPN是一個強大的替代選擇，其優質免費方案（真正免費，不收集數據）可能適合偶爾使用公共WiFi、無需訂閱即可獲得保護的用戶。應避免使用未發布安全審計、設於私隱法律薄弱地區，或主要以「無日誌」為賣點卻無任何驗證的VPN——在沒有獨立審計的情況下，這類聲明無從核實。
自動連接是VPN功能，當您加入不在信任名單上的網絡時，系統會自動啟動保護。設定完成後，您無需記住手動啟動VPN——每當您連接到家庭或辦公室以外的任何WiFi網絡時，它都會自動啟動。在iOS版NordVPN中：打開應用程序，前往「設定」→「自動連接」→選擇「在不受信任的Wi-Fi網絡上」。您也可以指定信任的網絡（家庭、辦公室），使VPN僅在其他連接上啟動。在iOS版ExpressVPN中：前往應用設定並啟用「啟動時連接」和「網絡鎖定」（若VPN斷開則阻止互聯網訪問，防止意外暴露）。兩個應用的Android版本均在各自的「設定」菜單中提供相應設定。
在macOS上，VPN自動連接可通過VPN應用的設定或macOS內置VPN配置進行設置。建議使用專用VPN應用，因為它提供更精細的控制，並包含macOS內置VPN所不具備的斷線保護等功能。在macOS版NordVPN中：「偏好設定」→「自動連接」→啟用「啟動時連接」並指定信任的網絡（家庭和辦公室WiFi名稱）。對於在公共WiFi上使用的Windows筆記本電腦，Windows VPN應用中也提供相同的自動連接設定。此外，Windows用戶應啟用斷線保護功能——若VPN連接意外中斷，該功能會阻止所有互聯網流量，防止設備在VPN重新連接時通過公共網絡意外傳輸未受保護的數據。
強制認證頁面例外是VPN自動連接設定中的重要考量。大多數VPN應用足夠智能，能夠偵測強制認證頁面並暫時允許未加密的流量完成頁面認證流程，然後自動重新連接VPN。然而，某些舊版VPN配置或不具備強制認證頁面偵測功能的VPN應用會完全阻擋頁面，導致您無法登入。若您連接到公共WiFi網絡後無法訪問任何網頁，請暫時停用VPN，完成強制認證頁面登入，然後重新啟用VPN。現代VPN應用（NordVPN、ExpressVPN、Mullvad）會自動處理此問題。在關鍵時刻（如機場登機閘口）依賴VPN前，請先在熟悉的網絡（如您常去的咖啡廳）測試VPN的強制認證頁面應對行為。
VPN在公共WiFi上提供強大的網絡層保護，但它本身並非完整的安全解決方案。最重要的缺口在於，VPN無法防護發生在應用層或通過社交工程進行的攻擊。若您點擊網絡釣魚鏈接並在虛假網站上輸入憑證，VPN無法阻止該數據被盜——因為數據是通過您的VPN加密連接主動提交給攻擊者伺服器的。同樣，若惡意軟件已安裝在您的設備上（通過惡意下載或受感染的USB設備），VPN會像加密正常流量一樣加密惡意軟件的通訊，無法提供任何防護。應用層安全需要獨立的措施：防網絡釣魚瀏覽器設定、電子郵件安全意識，以及信譽良好的安全軟件。
香港公共WiFi上的VPN性能因伺服器選擇、網絡擁塞和協議而異。WireGuard在信號強度不穩定的移動連接上通常優於OpenVPN。選擇鄰近伺服器——日本（東京）、新加坡或韓國——通常比連接歐洲或北美伺服器獲得更好的性能，尤其是在跨洲路由延遲較高的繁忙時段。大多數香港用戶會發現VPN速度足以滿足電子郵件、網頁瀏覽和視像通話的需求，但大型文件傳輸或4K串流可能比不使用VPN時慢。對於任何公共WiFi使用場景而言，這種性能代價換來的安全效益是值得的。
要實現全面的公共WiFi安全，請將VPN與以下措施結合使用：驗證您瀏覽的每個網站的HTTPS、針對公共網絡配置設備共享和防火牆設定、停用所有公共網絡SSID的自動WiFi連接，以及對高敏感度活動（銀行業務、企業系統、醫療記錄）優先使用移動數據。VPN負責網絡層加密和流量保護；其他措施則應對設備暴露、連接真實性和應用層風險。這些層次共同涵蓋公共WiFi呈現的完整威脅面。沒有任何單一工具能提供全面保護——分層安全才是正確方法。
