VPN 連線後，資料是否安全，不能只看用戶端顯示「已連線」。你還需要了解流量實際經過哪裡、DNS 查詢由誰處理、用戶端是否接管目標應用程式，以及服務如何說明資料紀錄政策。本文從無日誌、加密、DNS 洩漏與 Kill Switch 等面向整理自查方法；檢測結果只反映當下的裝置、瀏覽器與網路環境，不能取代服務條款或完整的安全稽覈。
VPN 能保護什麼，不能保證什麼？
VPN 或代理連線通常會在裝置與服務端點之間建立加密通道，讓這一段傳輸不容易被同一個公共 Wi-Fi 網路上的其他使用者直接讀取。使用者的連線也會由遠端出口發出，因此目標網站看到的來源 IP 可能與原本網路不同。不過，這不代表所有網路流量都一定進入通道，也不代表網站、應用程式或服務端完全看不到資料。
實際保護範圍取決於用戶端的接管方式及路由規則。系統代理通常隻影響會遵循系統代理設定的應用程式；有些程式會忽略這項設定，直接連線。TUN 模式透過虛擬網路介面處理更多流量，但仍可能受排除規則、路由、IPv6 與 DNS 設定影響。因此，「已連線」是用戶端狀態，不是所有應用程式都已受保護的證明。
還要分清傳輸通道的加密與網站本身的加密。VPN 通道主要保護裝置到 VPN 端點之間的傳輸；HTTPS 則在瀏覽器與網站之間建立加密連線。若網站使用 HTTPS，VPN 端點通常不能直接讀取正常傳輸中的頁面內容，但仍可能看到部分連線中繼資訊，例如連線時間、流量大小或所連接的目的地。若網站使用未加密的 HTTP，通道離開 VPN 端點後，資料可能缺少後續的端到端保護。
- ✅ 確認用戶端使用的是系統代理、TUN，還是應用程式內的代理設定。
- ✅ 查看規則模式中，目標網域或應用程式實際命中的是代理、直連或排除規則。
- ❌ 不要把出口 IP 改變，直接等同於匿名或不會留下任何資料紀錄。
- ❌ 不要因為已連線 VPN，就忽略網站 HTTPS、帳戶安全與裝置本身的防護。
無日誌政策要看哪些細節？
「無日誌」不是單一、通用的技術標準，不同服務對這個詞的定義可能不同。閱讀政策時，先確認服務是否說明會不會保存來源 IP、連線時間、連線時長、流量用量、使用的伺服器或目的地等資料，再看保存期限、用途、存取權限及刪除方式。只看到首頁或廣告寫著「不記錄」，而找不到清楚的政策內容，並不足以判斷資料處理方式。
還應分辨連線紀錄、帳戶資料與付款紀錄。即使服務不保存瀏覽活動，也可能需要處理帳戶登入、方案狀態、付款結果或客服往來資料。這些資料的存在不等於服務記錄了每個瀏覽頁面，但政策應清楚區分不同資料類別及其用途。付款方式、帳戶建立方式與支援流程，也會影響服務實際持有的資訊種類。
評估可信度時，可尋找政策版本與更新日期、資料保留說明、司法管轄資訊，以及是否有獨立審查或透明度報告。審查的範圍和時間點同樣重要：一次有限範圍的評估，不代表服務的所有系統永遠不會改變；一份報告也不能自動證明所有營運流程都符合使用者的預期。若政策使用含糊的「可能收集」或「必要時保存」，可以進一步確認適用情境，而不是自行推定它代表完全不留紀錄。
加密協定與用戶端設定怎麼看？
評估加密時，先確認服務與用戶端實際採用的協定、加密套件及版本，而不是隻看「安全」或「軍規」等概括形容。WireGuard 是 VPN 協定；Shadowsocks、VMess 和 Trojan 常見於代理用戶端及其相容設定中；Hysteria2 則採用以 QUIC 為基礎的傳輸方式。它們的設計目標、工作層次和設定格式不同，不能把名稱互換，也不能只因為某個用戶端可以匯入訂閱，就假設它支援其中所有協定。
加密的有效性也和設定及端點安全有關。用戶端需要使用相容且正確的設定，連線建立後，裝置到端點的傳輸才會依該協定的設計受到保護。若裝置已感染惡意程式、瀏覽器擴充功能能讀取頁面內容，或使用者在仿冒網站輸入密碼，VPN 通道並不能替代端點防護。也不要自行安裝來路不明的憑證或關閉瀏覽器的安全警告，以免把原本應該由 HTTPS 提供的保護破壞掉。
在 Windows、macOS、iOS、Android 或 Linux 設定用戶端時，請依平台說明覈准必要的網路權限。若同時開啟兩個會接管流量的用戶端，系統代理、虛擬網卡或路由設定可能互相衝突，造成部分流量直連或網路中斷。若需要安裝相容用戶端，請先查看快速上手說明，並以實際版本的操作指引為準；不要將訂閱連結交給不可信任的轉換服務。
規則模式尤其需要檢查應用程式的路由結果。某個網頁在瀏覽器中經過代理，不代表桌面同步程式或其他瀏覽器也使用同一路徑。遇到不確定的情況，可暫時關閉多餘的代理程式，確認目前啟用的設定與目標規則，再逐一測試需要保護的應用程式。
如何檢查 DNS、出口 IP 與 WebRTC？
DNS 會把網域名稱轉換成網路位址。若網頁流量走 VPN，但 DNS 查詢仍由本地網路或其他未預期的解析器處理，服務端與 DNS 解析器觀察到的資訊可能不一致。這種情況常被稱為 DNS 洩漏。檢查時，先確認用戶端已連線並選取預期的模式，再使用可信任的 DNS 洩漏測試頁面執行標準測試；接著中斷連線再測一次，作為環境對照。若測試頁提供詳細結果，記錄解析器名稱或所屬網路即可，不必公開完整 IP 或帳戶資訊。
若結果顯示意料之外的解析器，先不要急著判定服務有問題。瀏覽器可能使用安全 DNS（DoH），作業系統可能保留 DNS 快取，規則模式也可能讓測試網站或解析請求直連。可以依序確認用戶端的 DNS 設定、系統的安全 DNS 選項、TUN 模式與路由規則；修改後清除瀏覽器或系統 DNS 快取，再重新測試。選單名稱會依作業系統與用戶端版本不同，應以實際說明為準，不要直接複製其他裝置的設定。
除了 DNS，也要確認出口 IP 與 IPv6 行為。可開啟IP 檢測頁面，查看該次瀏覽器請求顯示的出口資訊；如果頁面顯示的是本地網路出口，可能是請求被規則設為直連，也可能是瀏覽器沒有使用目前的代理設定。部分環境還會透過 IPv6 建立連線，因此只檢查 IPv4 不一定足夠。檢測頁面只能測到它自身收到的請求，不能證明其他應用程式、背景服務或所有協定都走相同路徑。
WebRTC 是瀏覽器支援即時通訊的技術。不同瀏覽器與設定可能影響它如何取得網路介面資訊；WebRTC 測試頁面出現本地位址或與預期不同的位址，不一定等於網站已取得你的全部資料，但值得進一步檢視瀏覽器權限、WebRTC 行為及用戶端的流量接管範圍。避免為了隱藏單一檢測結果而安裝來源不明的擴充功能；若不使用相關通訊功能，可依瀏覽器提供的隱私選項調整，並在更新後重新確認。
- 先記下目前網路環境，確認只有一個代理用戶端負責接管流量。
- 連線後檢查出口 IP，再執行 DNS 測試；必要時另行確認 IPv6 與 WebRTC 結果。
- 切換用戶端模式或 DNS 設定時一次只改一項，方便分辨哪個變更影響結果。
- 重新測試並查看用戶端的路由或連線記錄；記錄中若含訂閱網址或帳戶資訊，分享前先遮蔽。
測試結果會受瀏覽器快取、作業系統設定、網路切換及測試網站本身影響。若結果前後不一致，先在相同裝置與相同瀏覽器中重做，並確認測試頁的請求確實符合預期的代理規則。不要只依賴單一網站的「安全」或「有洩漏」標記作結論。
Kill Switch、公共 Wi-Fi 與網銀的使用原則
Kill Switch（網路鎖定或中斷保護）通常是在 VPN 連線失效或用戶端退出時，阻止指定流量繼續以一般網路直連。不同用戶端對這個功能的範圍可能不同：有些只封鎖已選取的應用程式，有些則限制較多系統流量；另有些必須在用戶端保持執行時才有效。啟用後應查看說明，確認涵蓋範圍、重新連線時的行為，以及本地網路或區域網路是否仍可使用。
如需測試，可先儲存工作並準備好恢復網路的方法，再依用戶端說明暫停連線或模擬短暫中斷，觀察目標流量是否停止，連線恢復後是否正常重新接管。測試不要在重要檔案傳輸、遠端工作或網銀操作進行中執行。若 Kill Switch 造成網路無法恢復，先依官方指引停用或退出相關功能，不要在不清楚原因時直接刪除系統網路設定。
公共 Wi-Fi 的風險不只來自同一網路上的旁觀者，也可能包括仿冒熱點、釣魚頁面、惡意下載與受感染裝置。使用 VPN 可為符合設定的流量增加一段加密通道，但無法證明熱點可信，也不能防止使用者主動提供密碼給假網站。連線前確認 Wi-Fi 名稱與登入頁面，避免接受不明憑證或安裝陌生設定檔；離開後可關閉自動加入不熟悉網路的選項。
網銀與付款操作時，請確認網址拼寫正確、瀏覽器顯示 HTTPS，並使用銀行官方應用程式或書籤進入服務。VPN 不會取代銀行的多重驗證、裝置鎖定與交易通知；若銀行因登入地區或 IP 改變要求額外驗證，應依銀行官方流程處理，不要點擊訊息中的可疑連結。避免在共用裝置上儲存登入憑證，完成操作後登出並關閉不再使用的工作階段。
- ✅ 在可信任的網路與非關鍵工作情境下，依用戶端說明確認 Kill Switch 的實際範圍。
- ✅ 公共 Wi-Fi 上仍檢查 HTTPS、網域拼寫及網站憑證警告。
- ✅ 網銀使用官方入口、多重驗證與裝置鎖定，並留意異常登入通知。
- ❌ 不要把 VPN 當成防毒、反釣魚或裝置加密的替代品。
挑選免費 VPN 時，如何降低隱私風險？
「免費」本身不能證明服務不安全，但若供應者沒有清楚說明營運方式、資料處理政策與支援渠道，就很難評估使用代價。挑選前先確認應用程式由誰維護、是否能從可信任的官方商店或服務頁取得、政策是否公開說明資料種類與用途，以及是否以廣告、分析或其他方式維持營運。對要求不必要的聯絡人、簡訊、檔案或位置權限，應先問清楚與網路連線功能的關聯。
也要小心假冒用戶端、過度承諾與看似方便的線上工具。不要把訂閱網址、帳戶密碼、網銀資訊或連線設定貼到不明網站；訂閱連結可能包含可用來存取服務的資訊，應視同憑證保管。安裝前核對發行者與應用程式名稱，安裝後檢視系統授權，移除已不再使用或來源不明的工具。服務若無法說明其隱私政策，或要求關閉裝置安全功能才能連線，應先停止操作並重新評估。
自查的目的不是追求某個測試頁顯示「零風險」，而是確認自己知道資料走哪條路、可能由哪些角色處理，以及連線中斷時會發生什麼事。政策閱讀、設定檢查與瀏覽器測試應互相補足；當用戶端或作業系統更新、切換網路或更改 DNS 設定後，也應重新確認重要設定。遇到無法解釋的結果，先保存不含敏感憑證的錯誤資訊，再依服務與平台的正式說明排查。