VPN 不会把证书警告变成信任

这里比较的是两件事，而它们并非同一类：一条链路的加密，以及链路尽头服务器的身份。VPN 可以让前者更强，却对后者完全没有回答。正因如此，关于名称不匹配或证书过期的警告，不会因为隧道在运行就变得无害。挂锁和警告谈的是不同的属性。

隧道回答谁在承载流量；证书回答谁在接收流量。

警告关乎身份，而非传输

浏览器报告，对端证书没有按它被配置执行的规则通过验证。这些规则涵盖名称、证书链、有效期和当前时间。VPN 不会改变其中任何一项。把通往名称错误服务器的链路加密，得到的只是一条通往错误服务器的加密连接，这算不上改进。

设备时钟不准引发此问题的频率高于人们的预期，尤其是在电池耗尽或时区更改出错之后。在对网络下任何结论之前，先检查时钟。

实际失败的究竟是哪段连接？

门户页面、目标站点和 VPN 网关各自执行自己的身份检查，而错误只指出其中一个。不要把所有证书当作同一个对象，而应记录真实的主机名和确切的消息。在需要登录的 Wi-Fi 中，门户通常会拦截并出示自己的证书，操作系统的常规登录流程正因此存在。熟悉的网络名称并不能解决其中任何一个问题。

使用场所提供的成文流程，而不是为了让登录页出现就接受一个无关的身份。

安装根证书是另一个决定

当组织确实需要信任配置时，会通过受管理的配置文件或你可核实的支持流程来分发。一个随机页面要求你安装根证书，描述的是拦截，而不是修复。接受它会让安装者读取浏览器发往所有信任该根的站点的全部内容。这两者并不等同，而后者很难撤销。

对于 VPN 网关，请使用运营商经过验证的配置文件，或由其签发的替代身份。为了让警告闭嘴而移除验证，可能把连接引向你并不想要的端点。

隧道只保护一条链路

正确建立的隧道保护它本来要保护的那条链路。它不会验证你打开的每个页面，也不会取回已经从被入侵连接上发出的信息。那些属于浏览器验证和此前发生的事情。隧道是一条走廊，不是隧道尽头所有人的品行证明。

如果某个站点的证书是错的，有用的问题是：你是否到达了预期的站点。隧道回答不了这个问题，也不可能回答。

记录主机名、错误，以及涉及的解释器或门户。这份记录能把坏证书和坏路径区分开。