這份 VPN 新手安全指南先處理最容易被忽略的問題：帳號密碼、訂閱連結和用戶端設定不是同一種資訊，但都應按照憑證管理。尤其是訂閱連結，通常帶有可識別訂閱內容的權杖。取得完整連結的人可能直接匯入用戶端、讀取線路設定並消耗對應流量，而不需要知道帳號密碼。
VPN 能將裝置與接入節點之間的網路流量置於加密通道中，降低同一區域網路內遭直接觀察或竄改傳輸內容的風險。但通道不能取代網站本身的 HTTPS，也不能辨識仿冒登入頁、惡意附件或錯誤授權。安全使用的重點不是看到「已連線」就結束，而是從憑證保管、用戶端來源、連線檢查到洩漏處理，建立完整流程。
帳號密碼與訂閱憑證的差異
帳號密碼用於登入服務面板，常見用途包括查看方案、更新訂閱、取得用戶端或提交服務請求。訂閱連結則供代理用戶端使用，用來擷取節點名稱、伺服器位址、連接埠、協定參數與驗證資訊。匯入後，用戶端通常會將這些內容儲存為本機設定，重新整理訂閱時也會再次存取原連結。
因此，修改帳號密碼不一定會讓已洩漏的訂閱連結立即失效。兩類憑證可能採用不同的驗證機制。發現流量異常、陌生設定，或連結出現在公開位置時，正確做法是進入服務面板重設訂閱憑證，再刪除舊設定並重新匯入，而不是只更換登入密碼。
| 資訊類型 | 主要用途 | 洩漏後的風險 | 建議處理方式 |
|---|---|---|---|
| 帳號使用者名稱與密碼 | 登入服務面板，管理訂閱與服務請求 | 帳號設定可能遭查看或修改 | 更換獨立密碼，檢查面板中的訂閱狀態 |
| 完整訂閱連結 | 讓用戶端讀取並更新線路設定 | 他人可能匯入節點並占用訂閱流量 | 重設訂閱連結，移除用戶端中的舊設定 |
| 單一節點設定 | 連線至指定節點 | 對應線路的驗證參數可能遭重複使用 | 停止分享設定，更新相關訂閱憑證 |
| 用戶端執行記錄 | 排查連線、解析與路由問題 | 可能包含伺服器位址、訂閱請求或本機路徑 | 提交前檢查內容，只保留排障所需片段 |
PzVPN 註冊不需要電子郵件地址，只要使用者名稱和密碼即可建立帳號。即使註冊欄位較少，密碼仍應與其他網站分開設定。重複使用密碼會串聯不同服務的風險：任何一處憑證外洩，都可能影響使用相同組合的其他帳號。
- ✅ 為 VPN 服務設定獨立密碼，不與常用網站共用。
- ✅ 將訂閱連結放在受保護的密碼管理工具中，而不是一般備忘錄。
- ✅ 擷取排障畫面前，遮住網址列、訂閱權杖與完整節點設定。
- ❌ 不要將訂閱連結傳送到公開群組、論壇文章或共用文件。
- ❌ 不要原樣公開含有驗證參數的用戶端記錄。
訂閱連結如何保存與匯入
訂閱連結的外觀與一般網頁位址相似，但用途完全不同。連結中的路徑或查詢參數可能包含用於識別訂閱的權杖。瀏覽器能開啟它，不代表適合收藏在公開書籤、傳送到聊天記錄，或交給線上格式轉換網站。任何能讀取完整連結的程式或人員，都可能接觸其中的驗證資訊。
較穩妥的匯入方式是從服務面板複製連結，直接切換到可信任的用戶端完成匯入，接著清除系統剪貼簿。若裝置啟用了跨裝置剪貼簿同步，也要留意連結可能被同步到其他已登入裝置。暫時貼到網頁搜尋框、翻譯工具或線上筆記工具也不合適，因為這些輸入框不是憑證儲存位置。
匯入用戶端時要檢查什麼
- 先確認用戶端來源。優先使用服務頁面提供的下載入口、作業系統的可信任發佈管道或專案公開發佈頁，避免從重新打包的下載網站取得安裝檔。
- 開啟用戶端的訂閱管理功能，而不是將連結當作一般網頁開啟。不同用戶端可能將入口稱為訂閱、遠端設定、設定檔或設定提供者。
- 匯入後核對訂閱名稱與節點清單是否符合預期。不要只憑節點名稱判斷真實性，也要確認訂閱來源仍指向原本的服務網域。
- 依需求開啟自動更新。共用裝置上應考慮關閉背景預覽與通知內容，避免訂閱名稱或連線資訊出現在鎖定畫面。
- 替換訂閱連結後，刪除舊訂閱及其快取節點，再匯入新連結。只新增一份設定會讓舊憑證繼續留在用戶端中。
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 是用戶端可能辨識的不同協定或設定類型。它們在驗證方式、傳輸封裝、壅塞控制與用戶端支援方面有所差異，不能只看名稱判斷哪一種在所有網路環境中都更安全或更快。真正需要核對的是用戶端是否正確支援對應協定、傳輸加密是否依設定啟用，以及訂閱參數是否來自可信任來源。
用戶端的「匯出設定」功能同樣需要謹慎。匯出的文字、QR Code 或備份檔案可能帶有完整驗證參數。QR Code 不是去識別化格式，只是更容易讓機器讀取的編碼。分享畫面、錄製教學或提交截圖時，應將 QR Code 與完整連結視為同等級的敏感資訊。
公共 Wi-Fi上的實際風險
公共 Wi-Fi 的風險主要來自難以確認接入點身分、區域網路成員不可信，以及連線過程可能經過入口網站驗證頁。名稱相近的接入點可能由不同裝置提供，自動連線功能也可能讓裝置加入曾經儲存過的同名網路。進入機場、飯店、會議場地或咖啡店後，不要只根據網路名稱判斷接入點是否可信。
連線至公共網路後，系統通常會先存取連通性檢查位址並跳出入口網站頁面。此時 VPN 通道可能尚未建立，入口網站互動會經過一般網路路徑。應先完成必要的網路接入，再啟動 VPN 並確認用戶端顯示連線成功。若入口網站要求輸入與上網無關的敏感資料，應停止操作並向場地方確認。
- ✅ 連線前向場地方核對網路名稱，關閉不需要的自動加入功能。
- ✅ 完成入口網站接入後再啟動 VPN，並等待連線狀態穩定。
- ✅ 瀏覽器出現憑證警告時停止存取，不要忽略警告繼續登入。
- ✅ 離開場地後讓裝置忘記該網路，避免日後自動重新連線至同名接入點。
- ❌ 不要因為 VPN 已連線，就開啟來源不明的附件或核准異常授權。
- ❌ 不要把 HTTP 頁面當作適合輸入帳號憑證的頁面。
VPN 通道可以減少區域網路觀察者直接讀取傳輸內容的機會，但造訪的網站仍能看到瀏覽器主動提交的資訊，登入後的服務也能辨識帳號行為。HTTPS 負責瀏覽器與網站之間的加密及網站身分驗證；VPN 與 HTTPS 保護的是不同路徑，兩者不是替代關係。
公共網路上的合理順序是：確認接入點，完成必要的入口網站操作，建立 VPN 連線，檢查 DNS 與路由狀態，再開始處理需要登入的工作。
若 VPN 在網路切換時中斷，用戶端可能恢復系統預設路由。支援連線保護或網路鎖定功能的用戶端，可以在通道異常時限制流量直接送出，但不同平台的實作方式與適用範圍並不相同。啟用後應實際測試中斷連線、切換網路及裝置休眠後的行為，不能只依賴開關名稱。
DNS 洩漏與分流規則如何檢查
DNS 用來將網域名稱轉換為網路位址。VPN 已連線時，如果 DNS 查詢仍交由本地網路提供的解析器處理，接入網路可能知道裝置查詢過哪些網域，這通常稱為 DNS 洩漏。它不代表網頁正文被直接讀取，但會暴露部分存取中繼資料，也可能造成網域解析結果與代理出口地區不一致。
常見原因包括系統保留原網路的 DNS 設定、用戶端只代理應用程式流量、瀏覽器啟用了獨立的加密 DNS，以及分流規則將解析請求送出通道。處理時不要同時任意修改系統、瀏覽器和用戶端的多個選項，否則很難判斷是哪一層造成變化。
依序完成連線檢查
- 連線前記錄目前網路使用的出口與 DNS 解析狀態，僅作為本次對照，不要公開完整網路識別資訊。
- 建立 VPN 連線，等待用戶端完成路由與 DNS 設定，不要在狀態仍切換時開始測試。
- 檢查出口是否變為所選線路對應的地區，再檢查 DNS 解析器是否仍明顯來自本地接入網路。
- 若結果不一致，先查看用戶端的 DNS 模式與分流模式，再檢查瀏覽器是否單獨覆寫了解析設定。
- 修正後中斷並重新連線，重複相同流程，避免將快取結果誤認為設定已生效。
分流規則決定哪些流量進入通道、哪些流量維持直連。全域模式通常會讓更多流量經過代理線路，規則模式則依網域、位址或應用程式分類。規則模式方便讓本地服務維持直接存取，但過期或錯誤的規則可能使原本應代理的請求直連，也可能讓 DNS 查詢與網頁連線走不同路徑。
| 檢查項目 | 正常狀況 | 異常線索 | 優先排查項目 |
|---|---|---|---|
| 出口路由 | 與目前所選線路相符 | 仍顯示本地接入網路出口 | 系統代理、通道權限、用戶端連線模式 |
| DNS 解析 | 解析路徑與用戶端設定一致 | 連線後仍使用本地網路解析器 | 用戶端 DNS、瀏覽器獨立解析、系統快取 |
| 分流規則 | 目標應用程式依預期直連或代理 | 同一服務的請求走向不一致 | 規則優先順序、網域比對、應用程式繞過清單 |
| 網路切換 | 切換後通道重新建立 | 用戶端顯示已連線，但流量恢復直連 | 自動重新連線、連線保護、系統休眠策略 |
Windows、macOS、Linux、Android 與 iOS 對系統代理、虛擬網卡、背景執行和 DNS 接管的限制不同。桌面用戶端可能提供系統代理與通道模式，行動平台則更依賴系統提供的 VPN 介面。同一平台上的設定名稱相同，不代表底層路由範圍完全一致。排障時應記錄作業系統、用戶端名稱、連線模式與協定類型，而不是只說「VPN 連不上」。
憑證洩漏後的處理順序
發現訂閱連結被發到公開位置、截圖中出現 QR Code、用戶端流量異常，或設定曾匯入不可信任的工具時，應視為憑證已經暴露來處理。不要等待確認是否真的有人使用，因為舊連結只要仍有效，風險就會持續存在。
- 進入服務面板重設訂閱連結，讓舊憑證停止用於後續取得設定。
- 在所有自己的裝置上刪除舊訂閱、快取節點與匯出的設定檔。
- 使用新連結重新匯入，核對訂閱來源與節點清單，再測試連線。
- 若帳號密碼也曾出現在同一張截圖、檔案或共用記錄中，同時更換帳號密碼。
- 刪除公開內容和共用檔案中的原始憑證。刪除無法撤回已經發生的複製，因此仍需完成重設。
- 檢查用於排障的記錄與備份，確認沒有繼續保存舊連結或完整驗證參數。
如果只是某個節點連線失敗，不必直接認定憑證洩漏。線路維護、本地網路限制、用戶端版本差異、系統時間異常和協定支援不完整，都可能導致連線錯誤。憑證洩漏通常與公開分享、流量異常、未知裝置上的設定或不可信任的匯入流程有關，需要結合實際線索判斷。
提交服務請求時，優先說明錯誤發生的階段：訂閱無法更新、節點握手失敗、連線後無法解析網域，或只有特定應用程式無法連線。附上經過檢查的錯誤片段即可，不要主動提交完整訂閱連結。若支援人員確實需要定位訂閱，應透過服務面板內的帳號資訊處理，而不是在公開討論區貼上憑證。
日常安全習慣比臨時補救更重要
安全使用 VPN 不需要頻繁調整複雜參數，更重要的是維持穩定、可驗證的習慣。用戶端只從可信任入口取得；帳號密碼保持獨立；訂閱連結只在服務面板、密碼管理工具與需要連線的用戶端之間流轉；使用公共網路時先確認接入點，再建立通道；更改 DNS 或分流規則後完成測試。
服務的匿名無記錄政策可以說明服務端處理使用記錄的立場，但本機裝置上的瀏覽器歷史、下載檔案、系統記錄與用戶端設定仍由裝置本身管理。共用電腦、遠端協助和螢幕錄製情境尤其要檢查通知、剪貼簿、QR Code 與設定視窗是否暴露敏感內容。
- ✅ 定期查看用戶端中是否保留重複、過期或來源不明的訂閱。
- ✅ 更新用戶端前確認發佈來源，更新後重新檢查連線與分流狀態。
- ✅ 更換裝置時，先移除舊裝置中的訂閱和匯出檔案。
- ✅ 分享記錄前搜尋訂閱網域、驗證參數和本機檔案路徑。
- ❌ 不要把「已連線」當作網站可信、檔案可信或授權合理的證明。
- ❌ 不要為了省事，將完整訂閱長期保存在公開同步文件中。
對新手而言，最有價值的判斷方法很簡單：先確認誰能看到這項資訊，再判斷看到後能做什麼。如果一段文字、一個 QR Code 或一個檔案足以讓其他裝置建立連線，它就是憑證；如果一項設定會改變流量走向，就需要在修改後驗證；如果無法確認某個網路的營運者身分，就應將其視為不可信任的接入環境。
按照這套界線管理帳號、訂閱連結、用戶端與公共 Wi-Fi，可以涵蓋大部分常見的誤操作。VPN 是網路路徑中的一項安全工具，不是取代密碼管理、HTTPS 驗證、系統更新與謹慎授權的總開關。分清各層職責，發生問題時才能快速定位，也更容易採取有效處理。