VPN 新手安全指南：帳號、訂閱連結與公共 Wi-Fi注意事項

帳號與訂閱連結為什麼要分開保護

服務帳號通常用於登入使用者面板、查看方案、處理工單或管理訂閱；訂閱連結則可能直接包含可用來取得節點設定的存取權杖。兩者用途不同，卻都屬於憑據。帳號密碼外洩會影響面板控制權，訂閱連結外洩則可能讓他人在相容的用戶端中匯入設定，並消耗相應資源。

訂閱連結看起來像一般網址，容易被誤以為可以任意轉傳。實際上，連結中的長字串往往具有身分識別作用。把完整連結放進公開截圖、群組聊天、論壇紀錄、雲端剪貼簿或公開程式碼儲存庫，效果近似直接交出一把可複製的鑰匙。即使截圖只是用於求助，也應遮住網域後方的權杖部分、QR Code 與用戶端中的設定識別資訊。

訂閱外洩後的處理順序

1. 停止繼續轉傳相關截圖、QR Code 或紀錄，並刪除自己能控制的公開副本。
2. 登入服務的正式使用者面板，尋找重設訂閱、更新權杖或撤銷舊設定的功能。
3. 在自己的用戶端中刪除舊訂閱，再匯入新產生的訂閱網址。
4. 檢查其他裝置，避免舊設定仍持續連線而造成誤判。
5. 如果面板沒有相應操作，請透過正式工單管道說明情況，不要再次把完整舊連結貼到公開討論區。

匯入用戶端前先核對來源與權限

常見代理用戶端可以解析 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 或 TUIC 等設定，但「支援某種協定」不等於「來自任何下載頁面的用戶端都可信」。協定負責規定連線與傳輸方式，用戶端則是在裝置上讀取設定、建立網路介面並轉送流量的軟體。來源不明的安裝檔即使介面相似，也不應取得系統網路權限。

優先從服務商下載頁、用戶端專案的正式發布管道或系統應用程式商店取得軟體。下載頁突然要求安裝與網路功能無關的擴充功能、匯入陌生憑證，或要求將帳號憑據交給所謂的線上轉換器時，應立即停止操作。訂閱格式轉換需要讀取原始訂閱內容，因此把連結貼到第三方網頁，就等於將完整憑據交由該網頁處理。

• ✅ 下載入口來自已核對過的正式網域或專案發布管道。
• ✅ 安裝檔名稱、發布者資訊與使用說明彼此相符。
• ✅ 用戶端申請的是建立 VPN 設定、建立本機代理等相關權限。
• ✅ 匯入訂閱時直接在本機用戶端內操作，不經過陌生轉換頁面。
• ❌ 頁面要求提交服務帳號密碼，才能產生所謂的通用訂閱。
• ❌ 安裝過程要求信任用途說明不清的根憑證或設定描述檔。
• ❌ 排除問題的人員要求傳送完整訂閱連結、QR Code 或可直接使用的設定檔。

協定名稱不能取代安全判斷

Shadowsocks 著重簡潔的加密代理；VMess 與 VLESS 常見於相應生態系的用戶端與伺服器組合；Trojan 的傳輸外觀通常結合 TLS；Hysteria2 與 TUIC 採用以 QUIC 為方向的傳輸設計，更關注高封包遺失或網路波動下的連線表現。它們的設定欄位與適用網路不同，但使用者端的基本保護原則相同：設定來自可信任的訂閱、用戶端來源可核對，且系統權限與功能相符。

不要只憑節點名稱中的「專線」、「高速」或協定標籤判斷安全性。IEPL 專線、中轉與直連描述的是線路組織方式：直連通常由裝置直接存取遠端節點；中轉會先經過入口再轉往出口；IEPL 專線則強調特定的跨境承載路徑。它們可能影響穩定性、路由與使用體驗，卻不能取代帳號保護、用戶端驗證或網站憑證檢查。

公共 Wi-Fi中的實際風險與使用順序

公共 Wi-Fi 的風險不只來自傳輸內容遭旁觀。更常見的情況包括名稱相近的仿冒熱點、遭替換的認證入口、區域網路裝置探索、錯誤開啟的檔案分享，以及透過彈出視窗誘導安裝設定。攻擊者不一定需要破解加密連線，只要讓使用者主動進入錯誤頁面並提交資訊，就可能繞過傳輸層保護。

連線陌生熱點前，應向場所工作人員核對網路名稱，不要只憑訊號強弱選擇。連線後若自動跳出認證頁面，先查看網域與頁面內容。當認證入口要求輸入與上網無關的帳號密碼、復原資訊、付款憑據或訂閱連結時，應立即離開。能夠連上網路後，再啟動可信任的用戶端，並確認系統顯示 VPN 設定已啟用。

公共網路下的建議步驟

1. 關閉不需要的檔案分享、裝置探索與自動加入開放網路功能。
2. 核對熱點名稱，避免連線至拼寫相近或重複出現的未知網路。
3. 完成必要的網路認證，但不要提交與網路連線無關的敏感資訊。
4. 啟動用戶端，更新可信任的訂閱並選擇所需線路。
5. 檢查出口 IP、DNS 解析與目標應用程式是否如預期經過代理。
6. 使用完畢後中斷熱點連線，並從系統儲存的網路清單中移除不再需要的開放網路。

VPN 通道啟用後，裝置到代理節點之間的代理流量會依協定設定傳輸，但區域網路放行、繞過代理的應用程式與認證前流量仍需個別判斷。部分用戶端為了存取印表機或區域網路裝置，會提供「繞過區域網路」選項；在家庭網路中可能很方便，在陌生網路中則應確認自己是否真的需要。

DNS 與分流規則為什麼會造成「已連線但未受保護」

用戶端顯示已連線，只能表示某個代理程序或系統通道正在執行。實際流量是否進入該路徑，還取決於系統代理模式、虛擬網路介面、分流規則、應用程式本身的設定與 DNS 設定。新手常見的誤區是只查看狀態圖示，卻沒有核對目標應用程式的實際出口。

DNS 負責將網域解析為網路位址。如果網頁流量經過代理，而 DNS 查詢仍交由本地網路指定的解析器處理，就可能出現 DNS 洩漏：存取內容本身仍受到 HTTPS 等機制保護，但本地網路可能觀察到查詢過的網域。解決方式不是隨意填寫某個解析位址，而是啟用用戶端明確支援的遠端 DNS、加密 DNS，或隨代理轉送的解析方案，並在修改後重新測試。

分流規則則決定哪些連線經過代理、哪些連線直連。規則模式適合同時存取本地與國際服務，但規則過期、網域比對錯誤或應用程式繞過系統代理時，可能讓目標連線走錯路徑。全域模式較適合暫時排查，卻可能影響本地服務存取。正確做法是在全域或明確代理模式下先進行驗證，再回到規則模式定位具體規則，而不是反覆更換帳號或訂閱。

各平台用戶端的差異

桌面系統上的用戶端通常可在系統代理與虛擬網路介面模式之間選擇。系統代理主要影響遵循系統設定的應用程式；虛擬網路介面模式的涵蓋範圍通常更廣，但需要相應的系統權限。iOS 與 iPadOS 上的用戶端多透過系統 VPN 設定接管流量，匯入訂閱後仍須在系統授權介面確認。Android 用戶端也常使用系統 VPN 介面，並可能提供依應用程式分流。不同平台的按鈕名稱不必相同，判斷重點應放在流量是否如預期經過代理。

如果只有某個應用程式無法存取，先確認該應用程式是否使用獨立 DNS、內建代理或自訂網路堆疊。若所有應用程式都異常，再檢查訂閱更新、系統時間、本地網路與線路狀態。排除問題時一次只修改一個變數，才能判斷問題來自用戶端、規則、DNS 還是目前網路。

敏感資訊填寫界線與異常處理

正規的問題排查通常需要用戶端名稱、系統版本、錯誤提示、發生時間、線路類型與去識別化後的紀錄。通常不需要使用者交出可直接登入的密碼、完整訂閱權杖、復原憑據、付款驗證資訊或可掃描匯入的 QR Code。即使對方自稱客服，也應回到網站公布的正式工單入口核對身分，而不是繼續在臨時聊天視窗中傳送資料。

紀錄同樣需要去識別化。代理用戶端紀錄可能包含節點網域、伺服器位址、訂閱請求網址、存取目標或本機目錄。提交前應搜尋並刪除權杖、帳號識別資訊與本機檔案路徑。不要使用公開貼文網站承載原始紀錄；如果工單允許上傳附件，也應先製作只保留排查所需內容的副本。

• ✅ 可以提供錯誤提示原文、用戶端名稱與經遮蔽的設定截圖。
• ✅ 可以說明問題發生在家庭網路、辦公室網路還是公共 Wi-Fi。
• ✅ 可以描述使用的是直連、中轉或 IEPL 專線等線路類型。
• ❌ 不填寫服務帳號密碼、完整訂閱網址或復原憑據。
• ❌ 不要將訂閱 QR Code 上傳到公開的圖片辨識、轉換或問題排查頁面。
• ❌ 不要因陌生彈出視窗的要求而安裝用途不明的憑證、擴充功能或設定檔。

發現帳號或訂閱可能外洩時，不必先解除安裝所有軟體。優先撤銷舊憑據、修改帳號密碼、檢查使用者面板中的設定，再重新匯入訂閱並驗證裝置。若裝置出現來源不明的網路設定或受信任憑證，應在保存必要的排查資訊後移除相關設定，並透過系統安全功能檢查安裝紀錄。