VPN有哪些类型？一篇文章全面讲清

凌晨两点，李维还在公司加班。屏幕右下角弹出一条消息，是他在海外留学的妹妹发来的：“哥，我想看国内的综艺，但这边版权限制打不开，怎么办？”他揉了揉眼睛，顺手回了一句：“你用VPN了吗？”妹妹秒回：“用了啊，但好像还是不行，而且最近老断线。”

李维愣了一下。他想起自己刚接触VPN那会儿，也是一头雾水——明明都是“VPN”，为什么有的能连、有的不能连？有的快如闪电，有的慢如蜗牛？有的免费，有的贵得离谱？他花了整整一个周末查资料、试软件，才慢慢摸清门道。

如果你也曾在深夜对着“连接失败”的提示发呆，或者被各种协议名称弄得头晕，那这篇文章就是为你写的。我们不堆砌术语，不复制百科，而是跟着李维的视角，把VPN的类型一层层拆开，像拆一个快递包裹那样，看看里面到底装了什么。

第一层：按“用途”分，VPN其实有三种面孔

李维最早以为VPN只有一个用途：翻墙。后来他才知道，这个词在企业IT部门、网络安全工程师、普通用户嘴里，含义完全不同。

1. 远程访问VPN：给“出差的人”开一扇门

李维的公司最近在推行远程办公。市场部的小王在上海出差，需要访问公司内网的文件服务器。IT部门给他装了一个客户端，输入账号密码，点击连接，小王的电脑就像被一根看不见的网线拉回了公司机房。

这就是远程访问VPN。它解决的是“单个用户从外部接入内部网络”的问题。你人在咖啡馆、酒店、机场，只要连上VPN，就能像坐在办公室里一样访问共享文件夹、OA系统、内部数据库。

这种VPN的关键词是“点对点”。它不追求速度快，而是追求安全——数据在公网上传输时会被加密，就像把文件装进一个只有收发双方能打开的保险箱。

2. 站点到站点VPN：把两个办公室“焊”在一起

李维后来参与了一个项目，公司在北京和深圳各有一个办公室，两边需要频繁传输设计图纸。如果每次都用远程访问VPN，效率太低。于是IT部门在两地的路由器之间建立了一条VPN隧道。

这条隧道是“永久在线”的。北京办公室的电脑访问深圳的服务器时，完全感觉不到中间隔了2000公里——就像两个办公室在同一栋楼里。这种VPN叫站点到站点VPN，也叫网关到网关VPN。

它不服务于单个用户，而是服务于整个网络。两个局域网通过公网“虚拟”成一个大内网，数据在隧道里加密穿行，外人看不到也改不了。

3. 个人隐私VPN：给普通人一件“隐身衣”

回到李维妹妹的问题。她想看国内综艺，遇到的是“地理封锁”——网站检测到她的IP地址在国外，就拒绝播放。她需要的不是接入某个内网，而是把自己的IP地址“换成”国内的。

这就是个人隐私VPN，也是大众语境里最常说的那种。它的核心功能是：把你的网络流量先送到VPN服务器，再由服务器替你访问目标网站。网站看到的是VPN服务器的IP，而不是你的真实IP。

这类VPN通常有遍布全球的服务器节点。你想看美国Netflix，就连美国节点；想玩日服游戏，就连日本节点；想访问国内视频，就连国内节点。它像一件隐身衣，也像一张任意门。

第二层：按“协议”分，隧道里的语言不一样

李维在试了七八款VPN后，发现一个奇怪现象：同样连一个服务器，有的协议秒开网页，有的却卡成幻灯片；有的在酒店WiFi下能用，有的却被防火墙拦得死死的。

问题出在“协议”上。协议是VPN客户端和服务器之间约定的“说话方式”。不同的协议，加密强度、速度、伪装能力都不一样。

1. PPTP：老前辈，快但不再安全

PPTP是上世纪90年代微软主导的协议，几乎每个操作系统都原生支持。它的优点是快、配置简单，早年很多校园网VPN都用它。

但李维查资料时看到，PPTP的加密已经被证明存在严重漏洞，国家安全局级别的机构可以轻易破解。现在除非是内部测试或极低安全需求的场景，否则不建议使用。它就像一个老式挂锁，防君子不防小人。

2. L2TP/IPsec：更稳，但容易被识别

L2TP本身不加密，通常和IPsec搭配使用。它的安全性比PPTP高得多，配置也不算复杂，很多企业远程访问VPN还在用。

但李维发现，L2TP/IPsec有一个致命问题：它的流量特征太明显。防火墙一看就知道“这是VPN”，很容易被阻断。在一些网络管控严格的地区，它常常连不上。

3. OpenVPN：开源界的瑞士军刀

李维第一次成功连上公司内网，用的就是OpenVPN。它是开源的，经过多年审计，安全性很高。它可以在TCP和UDP之间切换，能穿透大部分防火墙。

但OpenVPN的配置相对复杂，需要证书和密钥。对普通用户来说，手动配置有点门槛。不过很多商业VPN客户端已经把它封装好了，点一下就能用。

4. WireGuard：新秀，快得不像VPN

李维后来换了一款支持WireGuard的VPN，惊讶地发现：连接几乎瞬间完成，看4K视频都不卡。WireGuard的代码量只有OpenVPN的几十分之一，运行在内核态，效率极高。

它的加密算法现代且简洁，被认为是下一代VPN协议的标准。不过WireGuard的“静默”特性也是一把双刃剑——它不回应未认证的包，导致在某些网络下反而难以建立连接。但总体而言，它是目前速度与安全平衡得最好的协议之一。

5. Shadowsocks / V2Ray / Trojan：伪装大师

李维的妹妹后来告诉他，她换了一个“小飞机”图标的应用，终于能看综艺了。李维一看，那是基于Shadowsocks协议的代理工具。

严格来说，Shadowsocks不是VPN，而是SOCKS5代理。但它常被归入“VPN类型”的讨论中，因为它解决了同样的问题：绕过网络限制。它的特点是流量伪装成普通的HTTPS流量，防火墙很难识别。

V2Ray和Trojan更进一步，支持多种伪装方式，甚至能模拟正常网页浏览行为。这些工具在技术圈里被称为“科学上网工具”，它们不加密整个设备的流量，只代理特定应用或浏览器的流量。

第三层：按“部署方式”分，谁在管你的隧道

李维最后发现，VPN还可以按“谁搭建、谁维护”来分类。这决定了你的数据经过谁的手，以及你能获得多大的自由度。

1. 自建VPN：自己的路自己修

李维的一个程序员朋友在云服务器上搭了一个WireGuard，只给自己和家人用。这就是自建VPN。优点是：IP独享、不被限速、数据不经过第三方。缺点是：需要技术能力，服务器要自己维护，IP被封了要自己换。

自建VPN适合对隐私要求极高、又有技术背景的人。它像自己家挖的地道，通向哪里自己说了算。

2. 商业VPN：拎包入住，但要看房东脸色

大多数普通用户用的是商业VPN，比如ExpressVPN、NordVPN、Surfshark等。它们在全球部署服务器，提供客户端一键连接。优点是方便、节点多、有客服。缺点是：你要信任这家公司不会记录你的日志，而且价格不菲。

李维试过一款号称“永不记录日志”的VPN，后来被曝出其实记录了用户连接时间。这让他意识到：商业VPN的“隐私承诺”需要看审计报告，不能只看广告。

3. 企业VPN：公司给你配的“工牌”

李维公司的远程访问VPN就是企业VPN。它由IT部门统一管理，员工只能访问被授权的资源。这种VPN不追求翻墙，也不追求匿名，它追求的是“最小权限原则”——你只能看到你该看到的东西。

企业VPN通常和身份认证系统绑定，比如LDAP、Radius、双因素认证。它像一张电子工牌，刷一下才能进对应的门。

第四层：那些容易被混淆的“近亲”

李维在查资料时，还遇到一堆和VPN长得很像但本质不同的东西。他决定把它们也列出来，免得你踩坑。

1. 代理服务器：只换地址，不加密

代理服务器也能换IP，但它通常不加密流量。你的数据在代理服务器和目標网站之间可能是明文的。而且代理只针对特定应用（比如浏览器），不像VPN那样接管整个设备的流量。

2. 智能DNS：只解决“看视频”问题

有些服务叫“智能DNS”或“DNS解锁”，它只修改DNS解析结果，让你以为自己在国内，从而绕过地理封锁。但它不加密、不换IP，只适合流媒体解锁，不适合隐私保护。

3. 零信任网络访问：企业VPN的进化版

李维的公司最近在评估ZTNA。它不像传统VPN那样先连入内网再访问资源，而是“先验证身份，再授权单个应用”。它更细粒度、更安全，但严格来说已经不是VPN了，而是VPN的替代方案。

回到那个凌晨两点的对话

李维后来给妹妹回了一条长消息：如果你想看国内综艺，用支持国内节点的商业VPN，选WireGuard或Shadowsocks协议；如果你只是偶尔用，可以试试智能DNS；如果你对隐私特别在意，可以考虑自建。但别用免费VPN——它们要么卖你的数据，要么慢得让你想砸电脑。

妹妹回了一个“懂了”的表情包。李维笑了笑，关掉聊天窗口，继续改他的方案。他知道，VPN的世界还在变——协议在进化，封锁在升级，需求在分化。但只要你理解了“用途、协议、部署方式”这三个维度，就能在眼花缭乱的名字里，找到那条真正属于你的隧道。