开着 VPN 还需要杀毒软件吗？

先从你即将运行的那次下载说起。你打开了一个页面，文件落进了下载文件夹，问题在于：你的两个安全产品中，是哪一个看过它。搬运字节的是隧道；文件能否安全执行，必须由设备上的某个东西来判断。这是不同的工作，由不同的组件承担。

顺着一个文件走一遍，比对比功能列表更快，所以就从点击跟到安装提示。

先看隧道搬运的是什么

当你通过 VPN 请求文件时，客户端加密你的流量并把它发到端点，端点再转发到站点。站点返回的字节沿同一条路径返回。隧道自始至终不会打开压缩包、不会检查安装程序，也不会追问可执行文件会做什么，因为那不是传输层的工作。

传输中的加密只解决一个更窄的问题：它让内容只对这条连接的两端可读。恶意文件经过一段完美加密的旅程之后仍然是恶意文件。如果托管它的站点本身就是攻击者，那么隧道保护的是攻击者的下载不被观察，而不是保护你不受载荷影响。

在信任下载之前，先确认你的流量去往哪里。看起来像厂商站点的页面，可能是一条广告，也可能是一个仿冒域名，隧道同样会忠实地把它送过来。

恶意软件相对于隧道处在什么位置

恶意软件得在某个东西上执行。被植入木马的安装程序以你的权限运行，一旦跑起来，它可以在应用加密文件之前、或在应用解密之后读取文件，这使它完全置身于隧道视野之外。隧道能保护随后的外泄路径，却无法阻止在任何一个数据包离开设备之前就已发生的那次窃取。

这正是端点保护作为独立控制存在的原因。它检查下载后静止的文件、观察进程行为、拦截已知的恶意指标，不过照例要说明：检测取决于特征、启发式、云端查询和配置。没有哪个扫描器能识别一切，所以备份、账户卫生和谨慎下载依然有分量。

打开浏览器的下载列表，在运行任何东西之前看看文件的真实名称和来源。双重扩展名、内含可执行文件的压缩包、由跳转链取回的安装程序，那一刻全都看得见，而且没有一样需要你去推敲密码学。

读一读你装的那个产品的功能列表

有些套件把一个隧道的客户端、一个恶意域名过滤器和一个本地扫描器打包进同一个安装程序。那是把工具组合在一起的产品，不是其中一个工具替另一个干活的证据。在取消订阅或卸载仍在做事的扫描器之前，先读清楚哪个组件负责什么。

域名过滤器是最常被误当端点保护的那一个。它拦截已知恶意域名的名称解析，这可以在下载开始前就挡住它，但对已经在磁盘上的文件毫无作用。本地扫描器读取文件；远端过滤器永远看不到它。把一份素净的隧道配置导入通用客户端，并不包含上述任何一个功能。

权限检查处在与下载决策相同的一层。如果安装程序为了改网络设置而请求管理员权限，这个请求值得读一读，而下载过程被加密这件事，并不会让它更安全。

在不关闭保护的情况下解决冲突

当两个产品互相干扰时，先判断是哪一层失败了，再考虑添加排除项。被隔离的安装程序、建不起来的隧道、被拒绝的证书，是三件不同的事，对应三种不同的修法，只有第三件与密码学有关。

Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled
Get-MpThreatDetection | Select-Object -Last 5
Get-NetConnectionProfile | Select-Object Name, InterfaceAlias

不要为了让一个安装文件跑起来，就把整个下载文件夹加入排除。在受管理的机器上，由管理员决定某个已验证组件是否值得一条窄口径的例外，而测试结束后，你放宽的部分都要恢复。如果某项改动并没有解释故障，就把它回滚，而不是把设备留得比接手时更弱。

两个产品谁也替代不了谁。隧道负责路径和远端看到的地址，端点保护负责文件及其行为，而微软关于防病毒和反恶意软件软件的常见问题是了解后者应当覆盖哪些内容的合理起点。