公共 Wi-Fi 与 VPN：门户、覆盖范围与断线策略
VPN 改变的是谁能观察你的流量，而不是酒店门户是否会拦截它。比较门户处理、应用覆盖范围与终止开关行为。
公共 Wi-Fi 不是单一威胁，因此 VPN 也不是单一答案。它把你的流量对本地网络隐藏起来，并把信任转移给运营商，而 HTTPS 仍然保护浏览器与网站之间的一段。酒店和咖啡馆网络里的实际问题，是登录门户、部分覆盖，以及断线时会发生什么。在断定隧道有效之前，请先比较这三点。
隧道在不可信网络上增加了什么
在开放网络上，附近的观察者能看到你连接哪个端点、有多少流量。隧道把这一视野替换为通往 VPN 服务器的加密流，同时把运营商变成新的信任方。它并不改善网站自身的安全状况。
HTTPS 仍是浏览器与网站之间的保护，而且必须保持开启。HTTP 表单不会因为某一段经过隧道就变得机密。证书验证警告是停车标志，而不是可以点过去的路障。
| Layer | What it protects | What remains visible |
|---|---|---|
| HTTPS | Browser-to-site content | Server name, sizes, timing |
| VPN tunnel | Traffic to the VPN endpoint | VPN use, volume, timing |
| Portal login | Nothing by itself | Details you type at admission |
先完成强制门户登录
酒店和咖啡馆常常在门户步骤完成前阻断普通流量。VPN 端点也是普通流量，所以在该步骤完成前客户端无法连接。使用设备自带的登录提示，并确认运营商与场所相符。
如果出现多个相似 SSID，请向工作人员询问哪个是真的。看起来官方的名称并不等于身份，VPN 也无法收回输入到假页面的密码。有些客户端会自行拦截门户；如果始终开启策略阻止登录，请按客户端有文档记录的暂停流程操作，之后再重新开启隧道。
覆盖范围取决于隧道，而不是标签
系统级 VPN 能承载大多数应用，而浏览器扩展只承载那个浏览器。如果公共网络覆盖是你连接的原因，请在假定一切都在隧道内之前，先读一读拆分隧道的排除项。热点仍然能看到你的设备在其网络中，以及通往 VPN 端点的流量。时间、流量大小和你在登录时提供的信息仍然可见。
这种交换正是隧道的意义：为内容减少观察者，而不是隐身。写下哪些应用真正被覆盖。
决定隧道断开时会发生什么
在接入点之间漫游或唤醒设备都可能中断连接。自动重连会尝试恢复隧道；终止开关决定这段空档里是否允许直连流量。手动断开、退出应用和意外故障可能遵循不同规则。
用无害流量测试这些切换，并确认你期望的行为，而不是营销页面暗示的行为。保持操作系统更新，关闭不需要的文件共享，并在有帮助的地方使用主机防火墙。
行程结束时，删除你不想自动加入的访客网络。出行前保存一份可用的配置，因为当网络本身无法连接时，设置页面毫无用处。