移动数据与校园 Wi-Fi：VPN 究竟加上了什么

先问谁在看，再问隧道是否有用，因为答案随观察者彻底改变。在移动数据上，值得关注的观察者是运营商；在校园 Wi-Fi 上，则是你刚刚接入的网络。两者的位置不同、可见度不同，一条隧道无法以同样的方式改善两者。多数混乱来自把 VPN 当成设备的属性，而不是「谁能看到什么」的改变。逐跳走一遍，决定通常自己就出来了。

无线链路隐藏了什么，又没有隐藏什么

无线电加密在其早期世代记录很差，后来的世代更强，却并未变得不可见。GSM A5 家族多年前就被攻破，第三代算法的实用攻击也已发表。历经这一切仍然留存的是元数据：哪个小区、何时、多少、哪些地址。让流量走隧道，运营商失去目的地，隧道运营方获得它们；对好奇的运营商值得交换，对留存并出售记录的一方则毫无价值。

运营商也不是那条路上唯一的当事方：漫游协议会再加一个能观察同样元数据的网络，隧道的出口就成了这一切汇聚的地方。

HTTPS 已经覆盖了大部分

人们在手机上做的几乎一切都已在 TLS 之内：网页邮箱、银行、即时通讯、大多数应用。隧道并不会加强它，而当隧道自己提供解析器时，它反而能看到 TLS 原本会隐藏的名字。TLS 留在外面的是目的地模式、任何遗留的明文协议，以及会话的时间与体量。

正是这部分残留是 VPN 所改变的，所以它在共享 Wi-Fi 链路上比在逐跳加密的链路上更重要。也正因如此，移动数据下的银行网站不需要隧道：证书与客户端已经应对了那种威胁。

校园 VPN 是接入工具

大学运行 VPN 是为把你放进他们自己的网络，对于有授权的期刊、院系共享盘、实验室机器或边界所阻断的服务，这才是正确答案。它不是隐私工具，而全隧道会让大学成为你所做一切的观察者，包括与课程毫无关系的网站。当目标是让校园看不到你的目的地时，使用校园 VPN 恰恰是反过来的。

可接受使用政策属于机制，而不属于脚注。通过校园隧道访问有授权的资源正是它的用途；用商业隧道绕过校园过滤通常就是违规，无论是否奏效。这两句话在没有对厂商任何看法的情况下解决了大多数真实案例。

用三个问题来决定

还剩三个问题：你在意哪个观察者、什么已经端到端加密、政策允许什么。把它们写下来回答，因为答案很短，而后来会变的正是那一部分。

然后根据这些答案而不是习惯来选择隧道的形态。如果一条隧道用于私有资源，另一种直觉用于普通浏览，就把它们分开，而不是让一个客户端把两者都做坏。分离隧道是正当的设计而非妥协，只要路由被写下来，你知道哪些流量走哪条路径。要避免的失败是客户端报告已连接却只发送选定前缀，而没人注意到自己处于哪种情况。

测试两条路径，然后如实描述它们

连接之后，测试一个私有资源和一个普通网站，并观察两端的出口地址。这一个测试就能把可用的分离隧道和全隧道区分开，也是你在不猜测的情况下唯一能做的覆盖声明。

把两个结果写进工单。这样一句话比任何关于 VPN 值不值得的说法都有价值，因为它指名的是路径而不是产品。