为什么使用公共Wi-Fi时必须开启VPN

那个在咖啡厅里“裸奔”的下午

上周六下午，我坐在国贸附近一家网红咖啡厅里改稿子。邻桌坐着一个穿格子衬衫的男生，面前摆着MacBook，手边是一杯已经凉透的美式。他先是连着店里的免费Wi-Fi刷了会儿短视频，然后打开网银准备给房东转房租。我余光瞥见他输入密码时没有任何犹豫——就像在自己家里一样自然。

二十分钟后，他骂了一句脏话。银行卡里少了八千块。转账记录显示钱被转到了一个境外账户，而他手机里那条银行验证码短信，他压根没看到——因为那条短信在到达他手机之前，已经被某个藏在咖啡厅路由器里的“中间人”截走了。

这不是电影情节。这是过去三年我听过至少二十遍的真实故事。而每一个故事的开头，都一模一样：“我就连了一下店里的免费Wi-Fi。”

所以今天我想认真聊聊这件事：为什么每次你连上公共Wi-Fi，都必须把VPN打开。不是“建议”，不是“最好”，是“必须”。

公共Wi-Fi到底危险在哪？不是网速慢，是有人在你和世界之间“搭了座桥”

场景一：那个叫“Starbucks_Free”的假热点

去年冬天我在上海虹桥火车站等车，手机Wi-Fi列表里跳出七个热点。其中三个名字里带“Starbucks”，两个带“CMCC”，还有一个叫“Free Airport WiFi”。我随手点开一个“Starbucks_Free”，连上了，但网页死活打不开，一直弹出一个“请登录”的页面，让我输入手机号和验证码。

我关掉Wi-Fi，用流量查了一下——星巴克官方早就声明过，他们门店的Wi-Fi名称从来不带“_Free”后缀。那个热点是假的。它架在候车厅某个角落的背包里，一台两百块钱的迷你路由器，插着充电宝，等着像你我这样的人上钩。

一旦你连上这种“钓鱼热点”，你访问的每一个未加密网页、输入的每一个账号密码、甚至你手机后台自动同步的照片，都会先经过那台小路由器。攻击者不需要什么高深技术，一个叫Wireshark的免费软件就能把经过他设备的所有数据包捞出来。你在这头输密码，他在那头看直播。

场景二：酒店前台那句“密码是八个八”

我有个做销售的朋友，常年出差。去年在郑州一家快捷酒店，前台告诉他Wi-Fi密码是“88888888”。他连上之后处理了一晚上邮件，第二天发现自己的企业邮箱在凌晨三点向所有客户群发了一封带附件的钓鱼邮件。附件里是个伪装成发票的exe文件。

酒店Wi-Fi的问题在于：你永远不知道上一个连这个路由器的人是谁，也不知道这个路由器本身有没有被改过固件。很多小酒店的路由器密码还是出厂默认的admin/admin，前台小姑娘都能进后台，更别说专门蹲点的人。攻击者连上同一个Wi-Fi后，用局域网扫描工具就能看到所有在线设备，然后发起ARP欺骗——简单说，就是让酒店路由器误以为攻击者的电脑是“网关”，于是你所有上网流量都先流到他那儿，再流向互联网。

你在这头以为自己在跟银行服务器加密通信，实际上你的“加密通道”终点站是隔壁房间那台开着 Kali Linux 的笔记本。

场景三：机场贵宾厅里那个“热心”的邻座

还有一个更隐蔽的场景。前年我在首都机场T3的贵宾厅里写稿，旁边坐了个西装革履的中年人，特别热情地跟我说：“这儿Wi-Fi信号不好，我开了个热点，你连我的吧，密码是12345678。”我当时赶稿心切，差点就点了连接。但多看了一眼他的手机屏幕——他开的热点名称叫“Free_WiFi_5G”，而他的手机状态栏里，Wi-Fi图标是亮的。

也就是说，他自己连着一个Wi-Fi，然后开热点给我用。这意味着我的所有流量要经过他的手机中转，而他的手机上装了什么抓包软件，我根本不知道。更可怕的是，如果他在自己手机上装了证书，他甚至可以对我进行SSL中间人攻击——我访问的HTTPS网站，在他那儿会被解密成明文。

我最后用自己手机开了热点。他看了我一眼，笑了笑，没再说话。

VPN在这中间到底起了什么作用？不是“翻墙”，是“修一条只有你能走的隧道”

把“公共走廊”变成“私人管道”

你可以把公共Wi-Fi想象成一个巨大的公共走廊。走廊里所有人都在大声说话，你说的每一句话、递出去的每一张纸条，旁边的人都听得见、看得见。你在这个走廊里给银行打电话报密码，你觉得安全吗？

VPN干的事情，是在这个走廊的地板底下挖了一条只有你知道入口的管道。你走进管道，管道直接通到你信任的出口（VPN服务器），然后从那个出口再连接到互联网。走廊里的人只能看到你“走进了管道”，但看不到你在管道里说了什么、递了什么。

具体到技术层面：当你连接公共Wi-Fi并开启VPN后，你的设备会先与VPN服务器建立一条加密隧道（通常是AES-256级别）。你发出的所有数据——网页请求、邮件内容、聊天记录、支付信息——都会先被加密成一段谁也看不懂的乱码，然后才进入那个公共Wi-Fi。就算攻击者截获了这些数据包，他看到的只是一堆加密后的字节流，没有密钥根本解不开。

那个叫“HTTPS”的东西为什么不够用

有人会说：“现在网站都是HTTPS了，浏览器地址栏有小锁头，不加密也没事吧？”

这话对了一半。HTTPS确实加密了你和网站服务器之间的通信内容，但它有两个致命漏洞：

第一，它不隐藏你访问了哪个网站。攻击者虽然看不到你在银行页面输入了什么，但他能看到你“访问了工商银行官网”。结合时间点，他就能推断出你大概在什么时间做了什么操作。这叫“流量分析”，在高级攻击里非常有用。

第二，HTTPS防不住“中间人证书攻击”。如果攻击者能让你设备信任一个伪造的证书（比如通过公共Wi-Fi的强制门户页面诱导你安装一个“根证书”），他就能解密你的HTTPS流量。而VPN是在HTTPS之外又套了一层加密，攻击者连你的VPN隧道都进不去，更别提里面的HTTPS了。

DNS泄露：那个你从来没注意过的“后门”

还有一个更隐蔽的点：DNS。你输入“www.icbc.com.cn”时，设备要先问DNS服务器“这个域名对应的IP是多少”。在公共Wi-Fi下，DNS请求通常是明文的，而且用的是Wi-Fi提供者指定的DNS服务器。这意味着咖啡厅的路由器知道你想访问工商银行，然后它完全可以给你返回一个假的IP地址——你打开的那个“工商银行官网”，其实是攻击者架在本地的一台服务器，页面长得一模一样，你输入卡号密码，直接进了他的数据库。

VPN开启后，DNS请求也会走加密隧道，由VPN服务器来解析。公共Wi-Fi连你想访问哪个网站都看不见，更别提给你返回假地址了。

那些“我连了这么多年也没出事”的人，后来怎么样了

我认识一个做自媒体的姑娘，叫小鹿。她以前是“公共Wi-Fi随便连”的坚定拥护者，口头禅是“哪有那么多黑客盯着我啊，我又不是明星”。直到去年秋天，她在杭州一家书店连Wi-Fi后，微信被盗，骗子用她的号给所有好友群发“借我五百块钱急用”。虽然最后钱追回来了，但她花了整整一周跟几十个朋友解释“那不是我”。

她后来跟我说了一句话，我记到现在：“黑客不是盯着你，是盯着所有没开VPN的人。你只是恰好在那批人里面。”

公共Wi-Fi攻击早就产业化了。网上有卖“Wi-Fi钓鱼套装”的，几百块钱一套，包含一个伪装成正常热点的路由器、一个强制门户页面模板、一个自动抓取账号密码的后台。买家不需要懂任何技术，插上电就能在商圈里“开业”。你觉得自己“没什么值得偷的”，但你的微信账号、你的手机号、你的身份证照片（很多人手机里都存着）、你的外卖地址，在黑产市场上都是明码标价的。

所以，下次连公共Wi-Fi时，请做这三件事

第一，先开VPN，再连Wi-Fi

顺序很重要。如果你先连Wi-Fi再开VPN，在VPN启动的那几秒钟里，你的设备已经暴露在公共网络里了。正确的做法是：打开VPN应用，让它处于“等待网络”状态，然后再连Wi-Fi。这样Wi-Fi一接通，VPN立刻接管所有流量，中间没有空窗期。

第二，关掉“自动连接开放Wi-Fi”

你手机里那个“自动加入已知网络”的开关，是攻击者最好的朋友。他们只需要伪造一个你曾经连过的Wi-Fi名称（比如“CMCC”或者你常去的咖啡店名字），你的手机就会自动连上去，连问都不问你。把这个功能关掉，每次手动选择网络。

第三，看到“请安装证书”的页面，立刻断开

正规公共Wi-Fi的登录页面只会让你输入手机号或者点“同意”，绝不会让你下载安装一个“证书”或者“配置文件”。一旦看到这种要求，说明有人正在试图对你的设备进行中间人攻击。立刻断开Wi-Fi，用流量上网，然后把这个热点名称举报给场所工作人员。

最后说一句：VPN不是万能的，它防不了你主动把密码告诉钓鱼网站。但在公共Wi-Fi这个场景里，它就像你上车系的安全带——你不系也不一定出事，但出事的时候，系了的人活下来的概率大得多。而那个在国贸咖啡厅丢了八千块的男生，后来在朋友圈发了一句话：“以后连Wi-Fi不先开VPN，我就是狗。”

希望你不要等到丢了钱才想起这句话。