---
title: "02-VPN是什么"
created: 2026-09-01
tags:
  - 项目筑基
---
# VPN是什么

[[01-VPN|上一篇]]把 VPN 的原理和它跟正向代理的区别讲了一遍，但"VPN"这个词在生活里至少有三种完全不同的用法，不先掰扯清楚，后面聊协议、聊工具全都容易串台。这篇就把"是什么"一次说透。

## 一、从两个场景说起

**场景一：校园网。** 学校买了不少学术数据库、知文库、正版软件的授权，但这些资源只对"校内 IP"开放。你寒暑假回家想查文献，访问会被拒——因为你的流量是从家庭宽带出去的，学校不认识你。学校的解法是提供一个"VPN 客户端"（常见名字叫 EasyConnect 之类）：连上之后你的电脑就被"拉进"了校园网，学校的服务器看到的是校内地址，权限就通了。这就是**远程接入 VPN**——人不在学校，但设备以"校内设备"的身份上网。

顺带一提，之前折腾[[04-校园网寝室WIFI|校园网寝室WIFI]]时写过那句原话："千万不能用这个wifi翻墙！！！"——这里其实已经埋了第二个场景的伏笔：**VPN 和"翻墙"经常被混为一谈，但它们是同一技术的不同用途**，后面第四节专门辨析。

**场景二：公司内网。** 出差在酒店想连公司内网的 OA、代码仓库、数据库——这些服务只挂在内网，公网根本摸不到。公司的做法同样是给你一个 VPN 客户端：连上后你的电脑在逻辑上就"坐进了办公室"，内网服务直接按内网地址访问。原理和校园网一模一样，只是把"学校"换成了"公司"。

两个场景的共同点：**你已经在互联网上了，但你要访问的资源只对某个"圈子"开放，VPN 负责把你的设备安全地"传送"进那个圈子。**

## 二、它到底干了什么

一句话定义：**在公共网络上，用加密隧道把两台（或两批）设备连起来，让它们表现得像在同一个局域网里。**

拆开看是三件事：

1. **隧道（tunnel）**：你的原始数据包被整个套进一个新的加密包里，在公网上传输。外面的人只能看到"有一堆密文从 A 流向 B"，看不到里面装的是什么、要去哪。
2. **加密与完整性**：隧道两端约定好加密方式，中途被窃听读不懂、被篡改会校验失败。HTTPS 保护的是"你和某个网站之间"，VPN 保护的是"你的设备和整个远端网络之间"。
3. **虚拟 IP**：接入后你会拿到一个内网地址（比如公司的 `10.x.x.x`、组网工具分配的 `100.x.x.x`），别的内网设备直接用这个地址找你。这也是为什么 VPN 连上之后，你能像在局域网里一样直接访问内网机器——原理和[[01-本地局域网|本地局域网]]里"同一个网段才能互访"完全一致，只不过这个"网段"是隧道凭空造出来的。

```mermaid
flowchart LR
    subgraph 家里["家里 / 宿舍"]
        A["你的电脑<br/>(172.16.x.x 公网侧)"]
    end
    subgraph 公网["互联网（不安全）"]
        T(("加密隧道<br>密文裸奔<br>但没人看得懂"))
    end
    subgraph 校内["学校 / 公司内网"]
        B["VPN 网关<br/>(验收隧道 发内网IP)"]
        S["内网资源<br>数据库 / OA / 知网"]
    end
    A == "套上加密壳" ==> T ==> B
    B -->|"以内网身份访问"| S
```

## 三、三种"VPN"，其实是三件事

"VPN"这个词被三路人马共用，技术内核相通（都是加密隧道），但**目的完全不同**：

| 类型 | 谁连谁 | 目的 | 例子 |
| --- | --- | --- | --- |
| 远程接入 VPN | 单个设备 → 机构内网 | 让员工/学生从外网访问内网资源 | 校园网 VPN、公司 VPN 客户端 |
| 站点间 VPN（组网） | 一批设备/网络 ↔ 另一批 | 把分散的局域网连成一个大网 | 总部↔分部；异地设备互联 |
| 消费级"梯子" | 你的设备 → 境外服务器 | 换个出口上网，绕过网络限制 | 各种机场、翻墙服务 |

第一、二种是 VPN 的"本职工作"，也是公司、学校花钱部署它的原因：**安全地把设备接入受信任的网络**。第三种借用了同样的隧道技术，但用途换了——这点必须分清，不然聊天时容易产生"VPN=翻墙"的错误印象（也正因为这种混用，国内对 VPN 的监管、企业对 VPN 的审批都是按用途来的，技术是中性的）。

第三种在[[06-VPN实战|06-VPN实战]]里有一段真实的纠结记录：拿 Tailscale 设了个出口节点想"翻出去"，最后原话是"算了算了 不设置出口了 会被喊去喝茶"——工具能做是一回事，该不该做是另一回事。

## 四、VPN vs 正向代理：全局和规则的差别

[[01-VPN|01-VPN]]里那段原话值得展开：VPN 和正向代理（如 Clash）都能"改变流量的走向"，但工作层级和粒度不同：

- **VPN 在系统网络层动手**：建立隧道后，操作系统的路由表被改写，**设备上所有流量**（或按规则分流的一部分）都从隧道走。应用根本感知不到 VPN 的存在，也不需要配合。
- **正向代理在应用层**：应用必须"知道"代理的存在（配置 `http_proxy` 或在软件里填代理地址），由代理替你转发请求。好处是规则精细——哪些域名走代理、哪些直连，逐条可配（Clash 的规则系统）；坏处是只对配合的应用生效。

粗略记：**VPN 管"整个设备怎么上网"，代理管"某些请求怎么转发"**。想更细了解代理那套分工，看[[02-正向代理反向代理|正向代理反向代理]]。

## 五、什么时候会需要它

按需求对号入座：

- **连学校的数据库/内网系统** → 用学校发的 VPN 客户端，不用自己搭。
- **连公司内网** → 同上，公司 IT 给什么用什么（通常还带准入审计，别乱来）。
- **自己的几台设备异地互联**（家里的 NAS、宿舍的电脑、云上的 VPS 想互相访问）→ 这就是"自建组网"的领地，用 Tailscale/EasyTier 这类工具，详见本组[[05-组网工具对比|05-组网工具对比]]。
- **把内网服务暴露给公网访问**（反过来：不是你进内网，而是让别人从外面敲进来）→ 这不是 VPN，是内网穿透，路线见[[06-内网穿透选型对比|内网穿透选型对比]]。

下一篇把支撑上面所有场景的**协议演进线**捋一遍：从古老的 PPTP 到现代的 WireGuard，看每一代解决了什么问题。

---
⬅️ [[01-VPN|VPN]] 🏠 [[00-网络与项目|00-网络与项目]] ➡️ [[03-协议与方案全景|协议与方案全景]]