這份 VPN 新手安全指南先回答一個實際問題：帳戶、訂閱連結與公共 Wi-Fi 防護，應該先注意什麼？先保護憑據，再確認客戶端來源，最後檢查流量路徑。連線狀態顯示成功，只代表已建立某個連線，不代表所有應用程式的流量都經過代理，也不能取代網站身分驗證。
帳戶密碼與訂閱連結：用途不同的存取憑據
面板密碼用來登入帳戶，訂閱連結則供客戶端取得線路設定。兩者用途不同，但都應妥善保密。訂閱網址可能包含權杖，回傳內容也可能帶有節點驗證資訊。取得連結的人，可能在其他裝置匯入設定，並使用相應的服務權限；實際可執行的操作取決於服務端的憑據設計。
因此，訂閱連結不是可以隨意轉傳的安裝教學網址。請勿將連結貼到公開聊天室、線上格式轉換工具或搜尋欄。向他人求助時，截圖應遮住完整網址、QR Code 與節點驗證資訊，不要只遮住帳戶名稱。QR Code 通常只是另一種編碼形式，拍下來也可能還原出憑據。
為面板設定專用密碼，避免與常用電子郵件或購物網站共用。可以使用可信任的密碼管理器保存密碼，並妥善保護管理器本身的解鎖憑據。不要在共用電腦上保留登入狀態；登出面板後，也應檢查下載檔案、剪貼簿記錄與瀏覽器紀錄是否留有設定內容。
客戶端來源與權限：匯入前先檢查
先從網站面板前往客戶端下載頁，再確認下載頁面與軟體發布者。不要把搜尋結果中的同名安裝檔當成官方版本，也不要執行聊天室附件裡所謂的修復工具。VPNGift 的下載入口位於面板；需登入才能取得訂閱。除 iOS 外，登入後可取得客戶端；iOS 入口則受有效方案條件限制。
不同平台的授權方式各有不同。Windows 客戶端可能透過系統代理運作，也可能使用需要額外權限的虛擬網卡模式；macOS 可能要求加入網路設定或啟用網路擴充功能；Android 與 iOS 客戶端則可能呼叫系統 VPN 介面。出現系統授權提示，不代表安裝來源已通過驗證，仍須確認應用程式身分。
- 確認安裝檔來自面板指向的發布管道，並檢查系統顯示的發布者與警告資訊。
- 依照客戶端文件授予網路相關權限；用途不明的權限，先不要允許。
- 在客戶端內使用訂閱匯入功能，不要將連結交給不明的線上轉換服務。
- 匯入後更新設定、選擇線路，再檢查代理模式與規則是否符合用途。
- 保留容易辨識的設定名稱，刪除不再使用的舊設定，避免誤連陌生訂閱。
系統代理與虛擬網卡模式不能簡單視為同一種功能。前者通常仰賴應用程式遵循代理設定，部分程式可能會繞過；後者可以接管更多流量，但仍會受路由、排除項目與客戶端實作方式影響。選單名稱相似，也不代表不同平台的涵蓋範圍完全一致。
公共 Wi-Fi：加密連線的防護範圍
飯店、咖啡廳與機場網路的首要風險，是難以確認網路身分。同名熱點不一定由場地方提供。連線前應向場地方確認網路名稱與驗證方式，避免裝置自動加入名稱相似的熱點。出現驗證頁面時，只完成必要的連網步驟，不要在其中輸入 VPN 面板密碼或其他網站密碼。
公共網路營運者或同一網段的攻擊者，可能監看、阻斷或干擾部分通訊。正確驗證憑證的 HTTPS 能保護應用程式與目標網站之間傳輸的內容；VPN 或代理通道則保護裝置到相應出口之間、經由該通道傳送的流量。兩者的防護範圍不同，可以搭配使用，但都無法阻止使用者主動將密碼提交給仿冒網站。
遇到憑證錯誤、要求安裝根憑證，或要求關閉系統安全檢查才能連網時，應暫停敏感操作。VPN 無法讓錯誤憑證變得可信。瀏覽器上的鎖頭圖示只代表連線已加密，不代表網站經營者可信；登入前仍須確認完整網域名稱，而不是只看頁面上的品牌圖案。
- ✅ 連線前確認熱點身分，使用後關閉不必要的自動加入設定。
- ✅ 系統支援時使用公共網路設定，並關閉不需要的檔案共享與裝置探索功能。
- ✅ 先確認連線與目標網域，再處理付款、帳戶變更等敏感操作。
- ❌ 不要略過憑證警告，也不要依照陌生驗證頁面的指示安裝憑證或描述檔。
DNS 與分流：連線後該檢查什麼
DNS 用來將網域名稱解析為網路位址。所謂 DNS 洩漏，通常是指查詢沒有沿預期路徑傳送，因而暴露給不希望參與解析的網路方。啟用代理不一定會改變系統 DNS；瀏覽器內建的加密 DNS、客戶端的解析設定、分流規則與系統快取，都可能影響實際結果。
驗證時應搭配檢視客戶端記錄、規則命中記錄與可信任的檢測工具。檢測頁面顯示的解析方不在預期範圍內，值得進一步排查；但解析方所在地與出口所在地不同，本身不能直接證明發生洩漏。加密 DNS 也不代表查詢已進入代理通道：它仍可能透過本地網路連線至解析服務。
| 觀察項目 | 可能代表什麼 | 下一步檢查 |
|---|---|---|
| 瀏覽器出口已變更 | 目前瀏覽器的請求經由相應出口傳送 | 繼續確認其他應用程式的流量路徑 |
| 某個應用程式仍直接連線 | 應用程式可能忽略系統代理，或符合直連規則 | 查看規則記錄、應用程式設定與虛擬網卡模式 |
| DNS 解析方不符合預期 | 解析路徑可能與預設設定不同 | 確認系統、瀏覽器與客戶端的 DNS 設定 |
| 中斷連線後，應用程式仍可連網 | 可能允許流量回到本地網路 | 檢查阻斷功能，並實際測試失去連線時的行為 |
分流的目的，是依照網域、位址或應用程式選擇不同路徑。讓本地服務直接連線可能是預期行為，不應把所有直連都稱為洩漏。應留意的是：敏感應用程式是否走上計畫之外的路徑。可從本站IP 檢測頁面開始確認出口；但網頁結果只代表這次網頁請求，無法涵蓋整台裝置。
如果客戶端提供連線中斷阻斷功能，應先閱讀其適用範圍，再模擬中斷連線，觀察目標應用程式是否仍可連網。不要只依功能名稱判斷效果。公司裝置也可能套用組織設定的網路政策，修改 DNS 或路由前應先遵循管理員要求。
協定與線路：別只看名稱就下結論
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 是不同的代理協定或協定體系，並非隱私等級標籤。客戶端必須支援訂閱中的協定及相應參數，才能正確連線。其中 VLESS 本身不提供傳輸加密，須配合實際傳輸層的安全設定判斷；不能單憑協定名稱就認定已有完整的加密保障。
同樣地，IEPL 專線、中轉與直連主要描述線路的組織方式。IEPL 通常指國際乙太網路專線；中轉會經過額外的轉送節點；直連通常不經由服務商另設的入口中轉。這些方式會影響路徑與使用體驗，卻無法單獨證明服務端如何保管憑據、是否保存記錄，或客戶端是否正確處理 DNS。
選擇時應分別確認傳輸設定、客戶端來源、隱私政策與實際路由。如果服務宣稱採取無日誌政策，應閱讀政策的適用範圍、例外情況與帳戶資料處理方式；不要因此認為目標網站無法辨識登入使用者。登入帳戶、瀏覽器識別資訊與付款記錄，屬於不同層面的資料。
註冊與付款：區分帳戶資料和交易資料
VPNGift 不需要電子郵件地址。這能減少開通時須提供的資訊，但也代表使用者應妥善保管帳戶憑據，並事先閱讀面板中的帳戶取回說明。不要為了方便記憶，把密碼設成公開暱稱，也不要將帳戶記錄放在多人可編輯的共用文件中。
付款時應從面板進入訂單流程，並確認收款對象、方案與金額。支付管道處理交易所需的資訊，與訂閱客戶端使用的網路憑據並非同一回事。客戶端匯入訂閱不需要付款憑據；客服協助排查連線問題時，也不應要求使用者公開完整付款資訊或交易授權憑據。
提交客服單時，可以提供必要的訂單識別資訊與已遮蔽敏感內容的錯誤資訊，不要傳送完整付款截圖。VPNGift 的退款規則為首次付款後 60 天內可申請無理由全額退款。訂單與退款相關事宜應透過面板處理，避免向身分未確認的私訊對象提供憑據或轉帳。
憑據疑似外洩後的處理順序
發現公開截圖含有訂閱 QR Code、流量出現無法解釋的消耗，或收到異常登入提示時，應先停止繼續散布相關內容。收回訊息有所幫助，但無法證明他人沒有保存副本。不要因為公開頁面已刪除，就認定舊連結仍可繼續使用。
- 使用可信任的裝置與網路登入面板，修改可能已外洩或重複使用的密碼。
- 如果面板提供訂閱重設或憑據撤銷功能，請執行重設；找不到入口時，透過客服單確認處理方式。
- 確認是否有可管理的登入工作階段，並使用面板提供的功能，結束不再信任的工作階段。
- 在自己的各台裝置重新匯入有效訂閱、移除舊設定，並檢查自動更新來源。
- 提交已遮蔽敏感資訊的事件經過，請服務商協助確認；不要再次將新連結貼到公開討論區。
如果懷疑曾安裝不可信任的客戶端，只更換訂閱並不足夠。應先移除相關軟體，檢查系統代理、網路擴充功能與憑證設定，並依照作業系統官方說明進行安全檢查。在確認裝置恢復可信任狀態前，不要在同一環境輸入新憑據。