VPN 隧道结束后 HTTPS 为何仍然重要

绿色的 VPN 指示灯、私密的感觉，紧接着浏览器在银行网站上弹出证书警告。那条警告不会因为隧道而有任何改善。VPN 保护的是从你的设备到它自己服务器的路径；HTTPS 保护的是从你的浏览器到网站 TLS 端点的请求。两者覆盖旅程中不同的路段，谁也替代不了谁。

两个末端不同的隧道

VPN 隧道终止于 VPN 服务器。越过这一点之后，你的流量继续经由普通互联网前往目的地。VPN 运营商能看到连接元数据，却读不到内容。

HTTPS 从你的浏览器开始，到网站的 TLS 端点结束。它不关心数据包是怎么到达服务器的，也不依赖 VPN 是否存在。

所以这两种保护是互补而非竞争。VPN 把请求对本地网络和你的网络运营商隐藏到它的出口为止。HTTPS 则把请求对那个出口之后的每一个观察者隐藏，包括 VPN 提供商自己。两者都不覆盖对方的缺口。明白这一点的人，就不会再问哪一个就够了。

普通的 HTTP 表单在出口之后依然普通

仍然接受 HTTP 表单的老网站，在 VPN 服务器之外得不到保护。隧道把表单运到出口，剩下的路由则把它明文送出去。

任何敏感内容都请使用真正的 HTTPS 版本或其他官方渠道。

已连接的指示灯并不改变应用的传输方式。浏览器的仅 HTTPS 模式有助于避免意外回退，但修不好一个从未提供 TLS 的网站。

证书警告不会因 VPN 而痊愈

主机名不对、证书过期、设备时钟偏移或遭到拦截，都可能导致验证失败。VPN 不会让其中任何一种变得无害。

先检查确切地址和系统时钟。

如果涉及网络登录页，请使用平台常规的强制门户流程。不要因为酒店网络提出要求，就为无关的账户网站授予永久例外。

在受管理的设备上，问清楚是否安装了检查用证书。这会改变通常的信任安排，值得给出具体解释，而不是耸耸肩。问清楚证书的用途和归属。

加密并不能阻止跟踪

会话会把 Cookie、登录状态和表单数据按原意送到网站。跟踪器同样可以搭上加密连接，而且大多数确实如此。

VPN 改变路由和表面的出口地址。它不改变你通过账户提供的身份，也不清除在网站之间跟随你的 Cookie。

保留你已经在用的浏览器防护。VPN 是对它们的补充，不是替代。

检查地址，而不是指示灯

核对地址栏里的主机名和网站出示的证书。小锁只表示连接加密到了某个端点；并不表示那个端点就是你要去的那个。

两条命令可以看到证书和重定向链：

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

如果证书写的是别的主机，就停下来。如果时钟不对，先校正再重试。如果重定向把你送到明文 HTTP，请把它当作网站的问题，而不是关掉验证的理由。浏览器之所以要警告，是因为除此之外只能猜是哪个端点收到了你的密码。