VPN安⁠全嗎？DNS洩漏、無日誌與公共Wi-Fi防護指⁠南

VPN 是否安全，不能只看「已連線」三個字，也不能只根據服務商首頁上的「加密」「匿名」或「無日誌」宣傳下結論。VPN 主要負責在裝置與 VPN 伺服器之間建立加密通道，降低本地網路、公共 Wi-Fi 管理者或網路供應商直接查看傳輸內容的機會；但 VPN 服務商本身仍可能看到部分連線中繼資料，裝置上的瀏覽器、應用程式和 DNS 設定也可能讓請求繞過 VPN。

真正值得檢查的是一整套可驗證的條件：服務商如何定義無日誌、用戶端是否正確接管流量、DNS 請求是否走加密通道、瀏覽器是否暴露 WebRTC 位址、斷線時是否有防護，以及在公共 Wi-Fi 和網上銀行等情境中是否採取額外措施。本文按照風險來源整理檢查方法，讓你能分辨「加密通道存在」與「整台裝置已得到完整保護」之間的差異。

VPN 能保護什麼，不能保護什麼

啟用 VPN 後，裝置通常會先把流量送往 VPN 伺服器，再由伺服器連接目標網站或服務。這會改變本地網路看到的內容：在正常運作且應用程式確實使用 VPN 的情況下，公共 Wi-Fi 管理者較難直接讀取傳輸內容，也不容易只從本地連線判斷你正在存取哪些完整網址。不過，這種保護有明確邊界，不能理解成所有網路活動都自動隱形。

第一個邊界是終端裝置。若電腦或手機已經感染惡意程式，鍵盤輸入、瀏覽器 Cookie、截圖和本機檔案仍可能被讀取。VPN 加密的是傳輸路徑，不是裝置內所有資料。第二個邊界是目標服務。你登入網站後，網站仍能依帳戶、Cookie、裝置指紋或其他識別資訊辨認你。第三個邊界是 VPN 服務商。服務商需要處理連線請求，因此「無日誌」必須具體說明保存哪些資料、保存多久，以及是否會收集診斷資訊。

因此，評估安全性時應把問題拆成幾層：本地網路是否能讀取內容、VPN 伺服器是否記錄連線、DNS 是否洩漏、應用程式是否繞過代理，以及斷線時是否會短暫恢復直連。只要其中一層處理不當，單純看到 VPN 圖示仍不足以證明整體設定安全。

加密與協定不是同一個概念

用戶端可能支援 Shadowsocks、VMess、Trojan、Hysteria2 或 WireGuard 等不同協定。協定負責描述連線如何建立、資料如何傳輸，以及用戶端如何與服務端交換設定；加密方式、驗證機制、傳輸層和核心實作則要看具體配置。不能因為訂閱中出現某個協定名稱，就推斷所有線路都具備相同的安全特性。

使用 Clash Verge、sing-box 或 Shadowrocket 等兼容用戶端時，還要確認訂閱轉換後的規則沒有遺失 DNS、TUN 或分流設定。官方 Windows、macOS、Android、iOS 和 Linux 用戶端通常會將這些選項整合在介面中；第三方用戶端則可能需要手動開啟遠端 DNS、Fake-IP、TUN 或防洩漏功能。安全檢查的對象不只是服務商，也包括你實際匯入訂閱的用戶端。

如何閱讀無日誌政策

「無日誌」不是全球統一的技術標準，最重要的是看服務商對日誌的定義。完整的連線日誌可能包括來源 IP、連線時間、斷線時間、使用的伺服器、請求數量和傳輸流量；活動日誌則可能涉及造訪目標、DNS 查詢、網址或應用程式使用情況。部分服務商聲稱不保存活動日誌，但仍會暫存帳戶登入紀錄、錯誤報告或頻寬統計，這些差異都應在政策中寫清楚。

閱讀政策時，先找「收集資料」「保存期限」「法律請求」「第三方服務」和「診斷資料」等段落。不要只搜尋 no logs 或無日誌關鍵字後看到一句承諾就停止。需要確認的問題包括：是否保存來源 IP、是否保存 DNS 請求、是否保留連線時間、是否將帳戶識別碼與技術資料關聯、刪除資料需要多久，以及應用程式崩潰報告是否可能包含網址或裝置資訊。

「經過審計」或「有透明度報告」可以增加可信度，但仍要查看審查範圍與時間。一次針對伺服器配置的審查，不一定等於完整檢查應用程式、付款系統、客服工具和分析服務。若服務商公開政策、更新紀錄和處理法律請求的說明，使用者便能更容易判斷承諾是否具體。

• ✅ 先確認政策是否列出收集資料類型，而非只看「無日誌」標語。
• ✅ 分開檢查連線日誌、活動日誌、付款資料和診斷資料。
• ✅ 查看政策更新日期與第三方審查的範圍。
• ❌ 不要把不保存瀏覽內容理解成完全不保存任何技術資料。
• ❌ 不要只依賴論壇留言或單次測試推斷服務商的長期行為。

DNS 與 WebRTC 洩漏怎麼檢查

DNS 是將網域名稱轉換成 IP 位址的系統。即使瀏覽器的網頁內容經過 VPN 傳輸，如果 DNS 請求仍交給本地路由器、電信商或未加密的外部解析器，第三方仍可能從查詢紀錄推測你要連接的服務。這就是常說的 DNS 洩漏。它不一定會讓帳戶密碼直接暴露，但會削弱隱私，並可能造成地區判斷、內容載入或分流結果異常。

檢查前先關閉其他代理工具，記錄目前網路環境下的 DNS 伺服器資訊。接著啟用 VPN，等待用戶端顯示連線，再使用可信的 DNS 檢查頁面查看解析器所屬網路。不要只看結果頁上顯示的國家，也要確認是否仍出現本地網路供應商的解析器。若結果在連線前後完全沒有變化，或同時出現本地與 VPN 服務相關的解析器，就應回到用戶端檢查 DNS 模式、分流規則和 TUN 設定。

WebRTC 則是瀏覽器用來建立即時音訊、視訊或點對點連線的技術。某些瀏覽器環境可能透過 WebRTC 暴露本地網路位址或其他候選位址，這不一定代表 VPN 加密失效，但會讓網站取得額外的網路資訊。檢查時應在 VPN 開啟和關閉兩種狀態下比較結果，並確認瀏覽器是否允許網站使用 WebRTC。不要安裝來源不明的擴充功能來「修復」問題，因為擴充功能本身可能取得瀏覽資料。

1. 先在未連線狀態記錄出口 IP、DNS 解析器和 WebRTC 候選位址。
2. 只啟用一個 VPN 用戶端，連接線路後重新整理檢查頁面。
3. 比較連線前後的出口位置與 DNS 解析器是否符合預期。
4. 若 DNS 仍來自本地網路，檢查遠端 DNS、分流和防洩漏選項。
5. 若 WebRTC 暴露本地位址，依瀏覽器政策停用不需要的點對點權限。
6. 更換網路環境後再次檢查，因為 Wi-Fi、行動數據和公司網路的 DNS 行為可能不同。

公共 Wi-Fi、網上銀行與日常使用

公共 Wi-Fi 的主要風險不只在於有人可能監看傳輸，也包括假冒熱點、弱密碼路由器、未更新的網路設備和強制導向的登入頁。連線名稱看起來像咖啡店、機場或飯店，不代表它一定由正確的管理者提供。VPN 可以降低本地網路直接查看加密通訊內容的機會，但不能替你驗證熱點真偽，也不能阻止你把資料輸入假網站。

連接公共 Wi-Fi 前，先確認店家或場所提供的正式網路名稱與登入方式。不要在沒有必要時開啟檔案共享、網路探索或自動連接未知網路。啟用 VPN 後，仍應確認瀏覽器網址列使用 HTTPS，並注意憑證警告、奇怪的網域拼寫和要求重新輸入密碼的頁面。完成工作後，移除不再使用的網路設定，避免裝置下次自動連線到同名熱點。

網上銀行和付款服務應優先使用官方應用程式或自行輸入的正確網址，不要從陌生簡訊、電子郵件或彈出廣告進入。VPN 線路切換可能使銀行系統觸發額外驗證，這通常是風險控制，不代表 VPN 本身不安全。若交易過程需要一次性密碼或推送確認，應在確認商戶、金額和收款資訊後才授權。不要為了繞過登入限制而關閉裝置鎖定或多重驗證。

• ✅ 使用公共 Wi-Fi 時確認正式網路名稱，並關閉自動加入未知網路。
• ✅ 進入銀行或付款服務時自行開啟官方 App 或輸入已知網址。
• ✅ 開啟 VPN 後確認連線狀態、HTTPS 和 DNS 結果。
• ✅ 為重要帳戶啟用多重驗證，並使用獨立且不重複的密碼。
• ❌ 不要因為 VPN 已連線，就忽略假熱點、釣魚頁面和憑證警告。
• ❌ 不要在共用裝置上保存銀行密碼、訂閱連結或付款憑證。

免費 VPN 的風險與選擇方法

免費 VPN 不一定全部惡意，但「不收費」代表服務商仍需要用其他方式承擔伺服器、頻寬、維護和客服成本。部分產品可能依靠廣告、資料分析、功能限制或付費升級維持運作。真正需要警惕的是產品沒有清楚說明資料用途、開發者身份、政策內容和刪除帳戶方法，卻要求安裝大量權限或導入裝置層級設定。

下載前應查看開發者名稱、更新紀錄、權限要求和隱私政策。Android 用戶要留意 VPN 應用程式要求的權限是否與功能相符；iOS 用戶則要注意設定檔、VPN 設定和其他系統權限；Windows、macOS 和 Linux 用戶應確認安裝檔來源及簽署資訊。若應用程式要求讀取與 VPN 功能無關的通訊錄、簡訊或檔案內容，應先停止安裝並查明原因。

付費服務也不代表自動安全，但通常更容易取得完整政策、官方用戶端、訂閱管理、連線日誌和售後支援。以 QhVPN 為例，支援 Windows、macOS、iOS、Android 和 Linux，也可在相容用戶端中匯入訂閱；服務資料列出 90+ 國家、200+ 線路與不限台數同時在線裝置。這些是功能和覆蓋資訊，不等於對任何網路環境作出速度或穩定性保證，實際使用仍應以本地測試和政策核對為準。

一套可重複的安全自檢流程

完成安裝後，不要只測試一個網站就認定設定成功。先確認用戶端版本來自正式來源，接著匯入訂閱並查看協定、DNS、分流和斷線保護選項。若使用 Clash Verge、sing-box 或 Shadowrocket，應逐一確認設定檔中的 DNS 與路由規則，而不是假設匯入成功後所有功能都會自動開啟。

第一輪測試可在熟悉的家用網路完成：記錄未連線時的出口資訊，啟用 VPN 後再比較出口、DNS 和 WebRTC。第二輪測試可改用行動數據或可信的公共網路，觀察是否出現 DNS 回復本地解析、應用程式無法連線或特定網站反覆驗證等現象。測試過程中只保留一個 VPN 用戶端，否則多個核心同時修改代理和 DNS，結果很難判讀。

最後測試斷線行為。手動切換線路、暫停用戶端或短暫改變網路後，觀察系統是否在 VPN 尚未恢復時直接放行流量。若用戶端提供 Kill Switch 或「阻止 VPN 斷線時連線」功能，應先了解它會影響哪些應用程式，再決定是否啟用。啟用後，某些本地印表機、區域網路服務或公司內部系統可能需要額外允許規則。

1. 確認安裝來源、用戶端版本與應用程式權限。
2. 匯入完整訂閱，檢查節點、協定與設定檔是否正常解析。
3. 啟用 VPN 後比較出口 IP、DNS 解析器和 WebRTC 資訊。
4. 分別測試瀏覽器、常用桌面程式和手機 App，確認是否遵循代理。
5. 切換 Wi-Fi、行動數據或其他可信網路，再重複 DNS 與斷線測試。
6. 保存政策頁、設定截圖和錯誤日誌，但遮蓋帳戶密碼與完整訂閱連結。