公共 Wi-Fi 的风险在这几年变了。HTTPS 普及之后，“明文密码被偷看”已经很少见，但热点本身是否可信、DNS 有没有被动手脚、认证页面有没有被劫持，这些问题仍然存在。VPN 能缓解其中一部分，也有它管不到的地方。
四类常见风险
恶意热点（Evil Twin）是怎么回事
攻击者用和真热点相同的名字架设一个热点，设备会自动连上信号更强的那个。连上之后，所有明文流量和 DNS 查询都经过攻击者。此时 VPN 能把后续流量包在加密隧道里，但连接 VPN 之前的那一段流量，包括认证页面，依然暴露在热点面前。
DNS 篡改和劫持怎么防
热点下发的 DNS 可以把域名解析到错误的地址。把 DNS 查询一并放进隧道，由可信的解析器回答，可以消除这类风险；但这要求客户端确实把系统 DNS 切到了隧道内，没有泄露。
认证页劫持为什么 VPN 管不到
咖啡店、机场的 Wi-Fi 通常要先在网页上点“同意”。这个页面必须在未联网的状态下打开，所以不能先开 VPN。在认证页面上不要输入真实的邮箱密码或信用卡信息，这是与 VPN 无关的习惯问题。
VPN 能防什么、不能防什么
| 风险 | VPN 能否缓解 | 补充措施 |
|---|---|---|
| 嗅探明文 HTTP 流量 | 能 | 浏览器开启仅 HTTPS 模式 |
| DNS 篡改 | 能，前提是 DNS 走隧道 | 检查 DNS 泄露 |
| 恶意热点 | 部分，连接前的流量不受保护 | 确认热点名称、关闭自动连接 |
| 认证页劫持 | 不能 | 不在认证页输入真实敏感信息 |
| 同网段端口扫描 | 部分，隧道内流量不受影响 | 本机防火墙、关闭共享 |
连接顺序与配置清单
正确的顺序是先连热点并完成网页认证，立即开启 VPN，确认握手成功后再登录账号、打开敏感服务。如果客户端支持“在不受信任的网络上自动连接”（移动系统和部分桌面客户端都有这个选项），建议打开，这样连上新网络时不需要手动操作。
Kill Switch 在公共 Wi-Fi 下为什么特别重要
公共 Wi-Fi 的信号不稳定，隧道断开后系统会自动回到明文路由，正在进行的请求立即暴露。工作在防火墙规则层的 Kill Switch 可以在隧道断开时阻断所有非隧道流量，比应用层检测断线再关网络的方式更可靠。
