这份 VPN新手安全指南先回答一个实际问题：账号、订阅链接与公共 Wi-Fi 防护应该先管什么？先保护凭据，再核验客户端，最后检查流量路径。连接状态显示成功，只说明某个连接已建立，不代表所有应用都经过代理，也不能替代网站身份核验。
账号密码与订阅链接：不同的访问凭据
面板密码用于登录账户，订阅链接用于让客户端获取线路配置。两者用途不同，但都需要保密。订阅地址可能包含令牌，返回内容也可能含有节点认证信息。拿到链接的人，可能在其他设备导入配置并使用对应服务权限；具体能力取决于服务端的凭据设计。
因此，订阅链接不是可以随意转发的安装教程网址。不要把它贴进公开聊天、在线格式转换工具或搜索框。向他人求助时，截图应遮住完整地址、二维码和节点认证内容，而不只是遮住账号名称。二维码通常只是另一种编码形式，拍下来也可能还原出凭据。
为面板设置独立密码，避免与常用邮箱、购物网站共用。可以用可信的密码管理器保存，并保护好管理器本身的解锁凭据。共享电脑上不要保存登录状态；退出面板后，还应检查下载文件、剪贴板历史和浏览器记录是否留下了配置内容。
客户端来源与权限：导入前先检查
先从站点面板获取客户端入口，再核对下载页面与软件发布者。不要把搜索结果中的同名安装包当作官方版本，也不要运行聊天附件中的所谓修复工具。VPNGift 的下载入口位于面板；需登录获取订阅，除 iOS 外登录可获取客户端，iOS 入口受有效套餐条件约束。
不同平台的授权方式并不相同。Windows 客户端可能通过系统代理工作，也可能使用需要额外权限的虚拟网卡模式；macOS 可能请求添加网络配置或启用网络扩展；Android 与 iOS 的客户端可能调用系统 VPN 接口。出现系统授权弹窗不代表安装来源已经得到认证，仍需核对应用身份。
- 确认安装包来自面板指向的发布渠道，检查系统展示的发布者与警告信息。
- 根据客户端文档授予网络相关权限，无法解释用途的权限先不批准。
- 在客户端内部使用订阅导入功能，不把链接交给不明在线转换服务。
- 导入后更新配置，选择线路，再检查代理模式与规则是否符合用途。
- 保留可识别的配置名称，删除不再使用的旧配置，避免误连陌生订阅。
系统代理和虚拟网卡模式不能简单视为同一功能。前者通常依赖应用遵循代理设置，部分程序可能绕过；后者可以接管更多流量，但仍受路由、排除项和客户端实现影响。菜单名称相似，也不表示不同平台的覆盖范围完全一致。
公共 Wi-Fi：加密连接的保护边界
酒店、咖啡店和机场网络的风险，首先是网络身份不容易核验。同名热点不一定由场地方提供。连接前应向场地方确认网络名称与认证方式，避免设备自动加入名称相似的热点。出现认证页时，只完成必要的入网步骤，不在其中输入 VPN 面板密码或其他网站密码。
公共网络运营方或同网段攻击者可能观察、阻断或干扰部分通信。正确验证证书的 HTTPS 能保护应用与目标网站之间的传输内容；VPN 或代理隧道则保护设备到相应出口这一段经过它的流量。两者保护的范围不同，可以配合使用，却都无法阻止用户主动把密码提交给仿冒网站。
遇到证书错误、要求安装根证书，或要求关闭系统安全检查才能联网，应暂停敏感操作。VPN 无法让错误证书变得可信。浏览器的小锁也只说明连接加密，不说明网站经营者可信；登录前仍要核对完整域名，而不是只看页面里的品牌图案。
- ✅ 连接前核对热点身份，使用后关闭不必要的自动加入设置。
- ✅ 系统允许时使用公共网络配置，关闭不需要的文件共享与设备发现。
- ✅ 先验证连接和目标域名，再处理付款、账户修改等敏感操作。
- ❌ 不绕过证书警告，不按陌生认证页指示安装证书或描述文件。
DNS 与分流：连接后验证什么
DNS 用于把域名解析成网络地址。所谓 DNS 泄漏，通常指查询没有沿预期路径发送，暴露给了不希望参与解析的网络方。开启代理并不必然改变系统 DNS；浏览器自带的加密 DNS、客户端的解析设置、分流规则和系统缓存，都可能影响实际结果。
验证时应结合客户端日志、规则命中记录与可信的检测工具。检测页面展示的解析方不在预期范围内，值得继续排查，但解析方所在地与出口所在地不一致，本身并不能直接证明泄漏。加密 DNS 也不等于已经进入代理隧道：它可能仍通过本地网络连接解析服务。
| 观察项目 | 可能说明什么 | 下一步检查 |
|---|---|---|
| 浏览器出口已变化 | 当前浏览器请求走了对应出口 | 继续确认其他应用的流量路径 |
| 某个应用仍直连 | 应用可能忽略系统代理或命中直连规则 | 查看规则日志、应用设置与虚拟网卡模式 |
| DNS 解析方不符合预期 | 解析路径可能与预设不同 | 核对系统、浏览器及客户端 DNS 设置 |
| 断开后应用继续联网 | 可能允许回落到本地网络 | 检查阻断功能，并实际测试失联行为 |
分流的目的，是按域名、地址或应用选择不同路径。让本地服务直连可以是预期行为，不应把所有直连都叫作泄漏。需要关注的是：敏感应用是否走了计划之外的路径。验证出口可从本站IP 检测页开始，但网页结果只代表这次网页请求，不能覆盖整台设备。
如果客户端提供连接中断阻断功能，应阅读其适用范围，再模拟断开连接，观察目标应用是否还能联网。不要只凭开关名称判断效果。企业设备还可能有组织下发的网络策略，修改 DNS 或路由之前，应先遵循管理员要求。
协议与线路：不要用名称代替判断
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 与 TUIC 是不同的代理协议或协议体系，不是隐私等级标签。客户端需要支持订阅中的协议及相应参数，才能正确连接。其中 VLESS 本身不提供传输加密，需结合实际传输层的安全配置判断；不能把协议名称直接等同于完整的加密保证。
同样，IEPL 专线、中转与直连主要描述线路组织方式。IEPL 通常指国际以太网专线，中转会经过额外转发节点，直连通常不经服务商另设的入口中转。它们会影响路径与体验，却不能单独证明服务端如何保管凭据、是否保存日志，或客户端是否正确处理 DNS。
选择时分别检查传输配置、客户端来源、隐私政策和实际路由。服务若陈述无日志策略，应阅读策略的适用范围、例外及账户数据处理方式；不要把这类立场理解为目标网站无法识别登录用户。登录账户、浏览器标识与付款记录都属于不同层面的信息。
注册与付款：区分账户信息和交易信息
VPNGift 无需邮箱地址。这减少了开通时需要提交的信息，但也意味着用户应妥善保管账户凭据，并提前阅读面板中的账户找回说明。不要为了便于记忆，把密码写成公开昵称，也不要把账户记录放进多人可编辑的共享文档。
付款时应从面板进入订单流程，核对收款对象、套餐与金额。支付渠道处理交易所需的信息，与订阅客户端需要的网络凭据不是同一回事。客户端导入订阅不需要付款凭据；客服排查连接问题，也不应要求用户公开完整支付信息或交易授权凭据。
提交工单时可以提供必要的订单标识和脱敏错误信息，不要发送完整支付截图。VPNGift 的退款规则为首次付费后 60 天内可申请无理由全额退款。有关订单与退款的沟通应通过面板处理，避免向身份未确认的私聊对象提交凭据或转账。
凭据疑似泄露后的处理顺序
发现公开截图包含订阅二维码、流量出现无法解释的消耗，或收到异常登录提示时，先停止继续传播相关内容。撤回消息有帮助，但不能证明他人没有保存副本。不要因为公开页面已经删除，就认定旧链接可以继续使用。
- 在可信设备与网络上登录面板，修改可能泄露或重复使用的密码。
- 如面板提供订阅重置或凭据撤销功能，执行重置；找不到入口时通过工单确认处理方式。
- 检查是否存在可管理的登录会话，按面板提供的功能结束不再信任的会话。
- 在自己的各台设备重新导入有效订阅，移除旧配置，检查自动更新来源。
- 提交脱敏后的发生经过，请服务方协助核对；不要把新链接再次贴进公开讨论。
如果怀疑安装过不可信客户端，仅更换订阅还不够。应先移除相关软件，检查系统代理、网络扩展和证书设置，按操作系统官方说明进行安全检查。确认设备恢复可信之前，不要在同一环境里输入新凭据。