VPN是什么

上一篇把 VPN 的原理和它跟正向代理的区别讲了一遍，但"VPN"这个词在生活里至少有三种完全不同的用法，不先掰扯清楚，后面聊协议、聊工具全都容易串台。这篇就把"是什么"一次说透。

一、从两个场景说起

场景一：校园网。 学校买了不少学术数据库、知文库、正版软件的授权，但这些资源只对"校内 IP"开放。你寒暑假回家想查文献，访问会被拒——因为你的流量是从家庭宽带出去的，学校不认识你。学校的解法是提供一个"VPN 客户端"（常见名字叫 EasyConnect 之类）：连上之后你的电脑就被"拉进"了校园网，学校的服务器看到的是校内地址，权限就通了。这就是远程接入 VPN——人不在学校，但设备以"校内设备"的身份上网。

顺带一提，之前折腾校园网寝室WIFI时写过那句原话："千万不能用这个wifi翻墙！！！"——这里其实已经埋了第二个场景的伏笔：VPN 和"翻墙"经常被混为一谈，但它们是同一技术的不同用途，后面第四节专门辨析。

场景二：公司内网。 出差在酒店想连公司内网的 OA、代码仓库、数据库——这些服务只挂在内网，公网根本摸不到。公司的做法同样是给你一个 VPN 客户端：连上后你的电脑在逻辑上就"坐进了办公室"，内网服务直接按内网地址访问。原理和校园网一模一样，只是把"学校"换成了"公司"。

两个场景的共同点：你已经在互联网上了，但你要访问的资源只对某个"圈子"开放，VPN 负责把你的设备安全地"传送"进那个圈子。

二、它到底干了什么

一句话定义：在公共网络上，用加密隧道把两台（或两批）设备连起来，让它们表现得像在同一个局域网里。

拆开看是三件事：

隧道（tunnel）：你的原始数据包被整个套进一个新的加密包里，在公网上传输。外面的人只能看到"有一堆密文从 A 流向 B"，看不到里面装的是什么、要去哪。
加密与完整性：隧道两端约定好加密方式，中途被窃听读不懂、被篡改会校验失败。HTTPS 保护的是"你和某个网站之间"，VPN 保护的是"你的设备和整个远端网络之间"。
虚拟 IP：接入后你会拿到一个内网地址（比如公司的 10.x.x.x、组网工具分配的 100.x.x.x），别的内网设备直接用这个地址找你。这也是为什么 VPN 连上之后，你能像在局域网里一样直接访问内网机器——原理和本地局域网里"同一个网段才能互访"完全一致，只不过这个"网段"是隧道凭空造出来的。

flowchart LR
    subgraph 家里["家里 / 宿舍"]
        A["你的电脑<br/>(172.16.x.x 公网侧)"]
    end
    subgraph 公网["互联网（不安全）"]
        T(("加密隧道<br>密文裸奔<br>但没人看得懂"))
    end
    subgraph 校内["学校 / 公司内网"]
        B["VPN 网关<br/>(验收隧道 发内网IP)"]
        S["内网资源<br>数据库 / OA / 知网"]
    end
    A == "套上加密壳" ==> T ==> B
    B -->|"以内网身份访问"| S

三、三种"VPN"，其实是三件事

"VPN"这个词被三路人马共用，技术内核相通（都是加密隧道），但目的完全不同：

类型	谁连谁	目的	例子
远程接入 VPN	单个设备 → 机构内网	让员工/学生从外网访问内网资源	校园网 VPN、公司 VPN 客户端
站点间 VPN（组网）	一批设备/网络 ↔ 另一批	把分散的局域网连成一个大网	总部↔分部；异地设备互联
消费级"梯子"	你的设备 → 境外服务器	换个出口上网，绕过网络限制	各种机场、翻墙服务

第一、二种是 VPN 的"本职工作"，也是公司、学校花钱部署它的原因：安全地把设备接入受信任的网络。第三种借用了同样的隧道技术，但用途换了——这点必须分清，不然聊天时容易产生"VPN=翻墙"的错误印象（也正因为这种混用，国内对 VPN 的监管、企业对 VPN 的审批都是按用途来的，技术是中性的）。

第三种在06-VPN实战里有一段真实的纠结记录：拿 Tailscale 设了个出口节点想"翻出去"，最后原话是"算了算了不设置出口了会被喊去喝茶"——工具能做是一回事，该不该做是另一回事。

四、VPN vs 正向代理：全局和规则的差别

01-VPN里那段原话值得展开：VPN 和正向代理（如 Clash）都能"改变流量的走向"，但工作层级和粒度不同：

VPN 在系统网络层动手：建立隧道后，操作系统的路由表被改写，设备上所有流量（或按规则分流的一部分）都从隧道走。应用根本感知不到 VPN 的存在，也不需要配合。
正向代理在应用层：应用必须"知道"代理的存在（配置 http_proxy 或在软件里填代理地址），由代理替你转发请求。好处是规则精细——哪些域名走代理、哪些直连，逐条可配（Clash 的规则系统）；坏处是只对配合的应用生效。

粗略记：VPN 管"整个设备怎么上网"，代理管"某些请求怎么转发"。想更细了解代理那套分工，看正向代理反向代理。

五、什么时候会需要它

按需求对号入座：

连学校的数据库/内网系统 → 用学校发的 VPN 客户端，不用自己搭。
连公司内网 → 同上，公司 IT 给什么用什么（通常还带准入审计，别乱来）。
自己的几台设备异地互联（家里的 NAS、宿舍的电脑、云上的 VPS 想互相访问）→ 这就是"自建组网"的领地，用 Tailscale/EasyTier 这类工具，详见本组05-组网工具对比。
把内网服务暴露给公网访问（反过来：不是你进内网，而是让别人从外面敲进来）→ 这不是 VPN，是内网穿透，路线见内网穿透选型对比。

下一篇把支撑上面所有场景的协议演进线捋一遍：从古老的 PPTP 到现代的 WireGuard，看每一代解决了什么问题。

⬅️ VPN 🏠 00-网络与项目 ➡️ 协议与方案全景

02-VPN是什么