公共 Wi-Fi 很方便，但「連上網路」不等於「連線安全」。咖啡店、機場、飯店、圖書館與共享辦公室的無線網路，通常由許多人共同使用。使用者往往無法確認基地台是否由場地方架設，也不一定知道網路管理者會保留哪些連線資訊。當你在這類環境登入信箱、購物網站、雲端硬碟或工作系統時，真正需要檢查的不是訊號滿格與否，而是連線對象、傳輸加密、帳號驗證與裝置設定。

VPN 可以在裝置與 VPN 伺服器之間建立加密通道，降低公共網路直接查看傳輸內容的機會，也能讓 DNS 查詢和部分連線資訊依照 VPN 的路由傳送。不過，VPN 不是所有風險的萬用解法。它不能替你辨識釣魚網站，不能保證下載的檔案沒有惡意程式，也不能取代 HTTPS、雙重驗證、作業系統更新與良好的密碼習慣。

公共 Wi-Fi 開 VPN 安⁠全嗎？加密防護一次檢查

公共 Wi-Fi 常見的安全風險

公共 Wi-Fi 的第一個風險是假基地台。攻擊者可能建立與店家、機場或飯店名稱相似的無線網路，讓使用者因為名稱熟悉而直接連線。假基地台不一定會立刻顯示明顯異常，有時甚至會提供比正規網路更強的訊號。裝置連上後，攻擊者可能觀察連線 metadata、引導使用者開啟仿冒登入頁，或透過網路環境幹擾未妥善加密的連線。

第二個風險是流量側錄。現代網站普遍使用 HTTPS，因此密碼與表單內容通常不會以明文直接傳送；但未加密的舊式服務、錯誤設定的應用程式、部分 DNS 請求或連線時間資訊，仍可能暴露使用習慣。即使內容本身受到 HTTPS 保護，旁觀者也可能從網域、連線頻率、流量大小與使用時段推測你正在使用哪一類服務。

第三個風險來自強制入口頁。公共網路常要求使用者先接受條款、輸入房號或完成簡單登入。這種 captive portal 本身不一定是惡意的，但攻擊者可以仿造相似畫面，要求輸入電子郵件密碼、社羣帳號或付款資料。正規 Wi-Fi 的入口頁通常不應要求你交出與網路使用無關的主要帳號密碼。

還有一類風險來自裝置之間的可見性。若系統把公共網路判定為「私人網路」，可能開啟檔案分享、網路探索或遠端服務，讓同一網段的其他裝置有更多機會探測你的電腦。手機、平板與筆電即使沒有重要檔案，也可能因瀏覽器工作階段、同步服務或自動連線功能而暴露不必要的資訊。

• ✅ 連線前核對店家提供的 Wi-Fi 名稱，必要時向櫃檯確認完整名稱。
• ✅ 將陌生公共網路設定為公用網路，關閉網路探索與檔案分享。
• ✅ 登入前檢查網址是否使用 HTTPS，並確認網域拼寫沒有異常。
• ❌ 不要因為登入頁有品牌標誌，就直接輸入主要信箱或銀行帳號密碼。
• ❌ 不要在公共網路中自動接受所有憑證、安裝不明設定檔或下載陌生應用程式。

VPN 加密 能保護什麼，不能保護什麼

啟用 VPN 後，裝置會把流量交給 VPN 客戶端處理，再透過加密通道送往 VPN 入口。對同一公共 Wi-Fi 上的旁觀者而言，通常較難直接讀取通道內的網站內容。這對經常在機場、旅館或共享空間工作的使用者尤其有幫助，因為它把公共網路視為不完全可信的接入環境，而不是把所有安全責任交給無線基地台。

不同 VPN 協定的設計取向不同。WireGuard 結構精簡，通常適合希望快速建立連線的現代客戶端；OpenVPN 生態成熟，TCP 與 UDP 模式可因應不同網路環境；Shadowsocks 常被作為代理型傳輸工具使用，本身的應用方式與完整 VPN 隧道不完全相同；VMess、Trojan 與 Hysteria2 也各有傳輸與相容性差異。選擇協定時，應以官方客戶端或相容客戶端實際支援為準，不要只看名稱判斷安全程度。

VPN 無法阻止你造訪仿冒網站。如果你在加密通道內輸入了釣魚頁面的密碼，資料仍可能直接交給攻擊者。VPN 也不能替代端對端加密：從 VPN 伺服器到目標服務的後半段，仍要依賴 HTTPS 或應用程式本身的加密設計。因此，瀏覽器出現憑證警告、網址拼寫不正確或網站要求下載可疑元件時，即使 VPN 已連線，也應立即停止操作。

以 YJVPN 為例，可在 Windows、macOS、iOS、Android 與 Linux 使用官方客戶端，或將訂閱連結匯入相容客戶端。若使用 Clash Verge、sing-box 或 Shadowrocket，應確認匯入來源可信、規則設定沒有誤導流量，並在連線後檢查目前出口與 DNS 狀態。第三方客戶端的介面、權限與規則由其自身負責，不能因為訂閱來自同一服務，就假設所有設定都已安全完成。

連線前 的安全檢查流程

連線前的準備不需要複雜工具，重點是先確認網路、裝置與帳號狀態。若是在陌生場所工作，建議先使用行動網路或可信網路完成 VPN 客戶端安裝、訂閱匯入與更新，避免在未確認的公共 Wi-Fi 中下載設定檔。VPN 客戶端與系統元件最好從官方來源取得，並檢查應用程式要求的權限是否符合用途。

1. 先核對 Wi-Fi 名稱與連線方式。若場所提供登入資訊，向工作人員確認完整拼寫、是否需要瀏覽器入口，以及是否有分開的訪客網路。
2. 將裝置的網路類型設為公用，關閉檔案分享、網路探索、印表機分享與不必要的遠端登入服務。
3. 檢查系統與瀏覽器更新狀態，移除不再使用的 VPN、代理程式、根憑證與陌生設定檔。
4. 先開啟 VPN 客戶端，再選擇適合目前目的地與服務的線路。若客戶端支援自動連線與終止開關，確認功能狀態符合你的使用情境。
5. 連線後開啟一般網站，檢查客戶端是否顯示已連線，並確認出口地區、DNS 狀態與分流規則沒有明顯錯誤。
6. 最後才登入工作系統、信箱或雲端服務，並優先使用雙重驗證或通行金鑰，避免只依賴單一密碼。

終止開關的作用，是在 VPN 通道中斷時阻止指定流量繼續經由普通網路送出。不同客戶端的名稱與工作方式可能不同，有些支援全域終止開關，有些只對選定應用程式或規則生效。啟用後應先閱讀說明，再用不敏感的網站測試；如果公共 Wi-Fi 需要瀏覽器入口才能完成認證，也要留意終止開關是否暫時阻擋入口頁。

客戶端設定的重點

規則分流適合需要同時使用本地服務與遠端服務的情境，但規則越複雜，排查錯誤就越困難。若目標只是保護公共 Wi-Fi 中的日常瀏覽，全域模式通常較容易理解；若需要使用本地印表機、投影設備或公司內部資源，則應按照客戶端說明設定例外，不要直接關閉所有安全功能。

DNS 是常被忽略的部分。VPN 顯示已連線，不一定代表每個應用程式都使用相同的 DNS 路徑。瀏覽器的安全 DNS、作業系統 DNS、代理規則與第三方應用程式可能各自處理查詢。若出現網站地區判定異常、網域解析錯誤或應用程式無法開啟，應先查看 DNS 與分流設定，再反覆切換節點。

連線後 的驗證與故障排查

VPN 連線成功的圖示只代表客戶端建立了某種連線，不代表所有流量都一定按照預期通過。實際使用前，可以依序檢查三件事：客戶端狀態、瀏覽器安全提示與目標服務功能。瀏覽器網址列應保持正常 HTTPS 狀態；需要登入的服務應能完成驗證；若應用程式無法使用，則要確認它是否繞過了代理、使用了不同的 DNS，或被目前網路封鎖。

若網頁能開啟但檔案上傳失敗，可能是檔案網域被分到不同線路，也可能是公共網路限制了特定連接埠。若影片能播放但語音會議斷續，則應檢查 UDP 支援、線路壅塞與應用程式的代理相容性。若所有服務同時無法連線，可以先重新連線 VPN，再確認 Wi-Fi 本身是否需要重新完成入口認證。不要在問題尚未定位時連續更改多項設定，否則很難知道是哪個變更產生效果。

離開公共場所後，也應記得關閉自動連線到陌生 Wi-Fi 的選項，刪除不再使用的網路設定，並檢查裝置是否仍保留不明的 VPN 設定檔或憑證。若曾在可疑頁面輸入密碼，不能只靠重新開啟 VPN 解決，應立即在可信網路更改密碼、撤銷可疑工作階段，並檢查雙重驗證與帳號登入紀錄。

• ✅ 使用後移除不需要的公共 Wi-Fi 自動連線設定。
• ✅ 在可信網路查看信箱、雲端服務與工作帳號的登入活動。
• ✅ 若曾下載可疑檔案，先隔離檔案並使用系統安全工具檢查。
• ❌ 不要把「VPN 已連線」當成所有帳號與檔案都安全的證明。
• ❌ 不要在同一裝置同時啟用兩個 VPN 或代理客戶端，避免路由與 DNS 互相衝突。

常見問題

公共 Wi-Fi 開 VPN 就完全安全嗎？

不完全是。VPN 可以保護裝置到 VPN 入口之間的傳輸，降低同一公共網路直接查看內容的風險，但不能阻止釣魚網站、惡意下載、帳號盜用或服務端資料外洩。仍應確認 HTTPS、網站網域、系統更新與雙重驗證。

應該先連 Wi-Fi 還是先開 VPN？

多數公共 Wi-Fi 需要先連上無線網路，再用瀏覽器完成入口認證，之後才適合建立 VPN。若客戶端的終止開關阻擋入口頁，可依官方說明暫時處理認證，完成後立即重新啟用 VPN。不要在入口頁輸入與網路認證無關的主要帳號密碼。

免費 Wi-Fi 一定比行動網路危險嗎？

不能只用免費或付費判斷安全性。可信的場所也可能有設定錯誤，陌生網路則可能存在假基地台或仿冒入口。比較穩妥的做法是將所有公共 Wi-Fi 視為不完全可信，使用公用網路設定、HTTPS、VPN 與雙重驗證共同降低風險。

可以使用 Clash Verge、sing-box 或 Shadowrocket 嗎？

可以，但要確認客戶端版本、作業系統權限、訂閱格式與協定相容性。匯入訂閱後，檢查規則、DNS、全域或分流模式，以及是否有其他代理程式同時運作。若只是第一次在公共 Wi-Fi 使用 VPN，官方客戶端通常較容易確認連線狀態與故障原因。