VPN是什麼？保護通訊的通道原理與做不到的事

生活中的例子

進公司之後，可能會被告知：「在公司外工作時，要先連上VPN。」在旅途中的飯店或咖啡廳，也許會看到「用VPN安全上網」的App廣告。新聞裡也會出現「從VPN設備遭到入侵」這樣的說法。

雖然都叫VPN，但在不同場合，目的都有些不同。這篇文章會依序看看VPN在做什麼。接著再把它做得到與做不到的事分開來思考。

VPN是什麼：在大家的道路上建立「專用通道」

很久以來，公司會用專線連接總公司與工廠這類相隔遙遠的地點。專線上沒有別人的通訊，所以安全，但費用很高。於是人們想出一種方法：借助加密，把大家都在用的網際網路當成專線來用。加密是指使用固定的步驟與「金鑰」，把資料轉換成沒有金鑰的人讀不懂的形式。

這稱為VPN（Virtual Private Network，虛擬私人網路）。「虛擬」的意思是，並不是真的拉一條專線，而是靠機制上的設計，發揮類似的作用。實際的通訊，和其他人一樣走網際網路的線路。

使用VPN，通訊的路徑會改變

平常用手機開網頁時，通訊會經過Wi-Fi或行動網路，直接送到該網站。網站那一端看得到你的線路的IP位址（網路上的地址號碼）。IP位址的原理，請參考「IP位址是什麼？」。

使用VPN時，通訊會先送往VPN伺服器。VPN伺服器是位於通道出口的電腦。手機與VPN伺服器之間會被加密，再由VPN伺服器代替你和網站往來。網站看到的不是你的號碼，而是VPN伺服器的號碼。

原理：把封包整個包起來運送

在網際網路上，資料會分成小塊傳送。這種小塊稱為封包，每個封包上都寫著目的地的號碼。詳細內容請參考「網際網路怎麼傳送資料？」。

在許多VPN中，軟體會把要送出的封包連同目的地的部分，整個加密。再把它當成內容，放進一個寄往VPN伺服器的新封包裡送出。像這樣把封包包進另一個封包裡，稱為「封裝」。

VPN伺服器從收到的封包中取出內容，用金鑰還原。然後把原本的封包送往原本的目的地。途中的設備看得到的，只有「寄往VPN伺服器」這個外層的目的地。封包被包著運送的這一段，在VPN中稱為「通道」（也有人稱為「隧道」）。

主要的方式

包裝的方法與決定金鑰的方法，有好幾種方式。這裡只介紹名稱與特色。加密與金鑰的原理，請參考「加密是什麼？」。

• IPsec：在網際網路的基本規則（IP）上加入加密的標準方式。常用在連接各據點的VPN。
• SSL VPN：使用與HTTPS相同的TLS的各種方式的統稱。名稱中留著TLS前身SSL的名字。
• OpenVPN：原始碼公開的VPN軟體，使用TLS的機制。
• WireGuard：把機制精簡到很小的新方式。從2020年3月發布的Linux 5.6起，被納入Linux的本體。Linux是廣泛用於伺服器等的作業系統。

用法1：公司的VPN（遠端存取VPN）

公司的檔案存放處和內部系統中，有些只能從公司內部網路使用。因為讓任何人都能從外部連線很危險。為了在家裡或出差地使用這些系統，員工會把電腦連到公司的VPN設備。這稱為「遠端存取VPN」。

連上之後，電腦會被當成和在公司內一樣。公司的VPN多半是規定必須使用的。自行切斷，或改用其他VPN，都可能違反規定。另外，依公司的設定，連線期間所有的網頁瀏覽也會經過公司。這種情況下，公司可以留下通訊的紀錄。

另一種是「站對站VPN」。它用設在建築物出入口的設備，把總公司與分公司的網路互相連接。員工不必意識到VPN，就能使用遠處據點的印表機或伺服器。

用法2：個人用的VPN服務

也有一種服務，是在手機或電腦上安裝App，連到業者的VPN伺服器。主要目的有兩個。一是在車站或咖啡廳的公共Wi-Fi上，讓通訊不容易從途中被看到。另一是讓連線看起來像是從VPN伺服器所在的其他地方連過來。

不過，影音串流等服務有時會在使用條款中禁止第二種用法。也有服務會辨識VPN伺服器的號碼，阻擋連線。

這裡的重點是，使用VPN只是改變「誰看得到什麼」。下表是開啟HTTPS網站時的大致情況。

不論哪種情況，受HTTPS保護的網頁內容與輸入的內容，途中都讀不到。使用HTTPS時途中仍看得到的東西（網站名稱等），請參考「HTTPS是什麼？」。把名稱換成號碼的查詢（DNS），多數VPN App也會讓它通過通道。不過依設定不同，查詢可能漏到通道外，讓網路業者看到網站的名稱。

VPN做不到的事

1. 不會讓你匿名

如表所示，VPN業者處在看得到你何時、與哪個網站、通訊了多少的位置。美國聯邦貿易委員會（FTC）在給消費者的提醒中也說明：信任的對象只是轉移到VPN業者，並不會完全匿名。而且只要登入網站，即使號碼改變，網站也知道你是誰。有些業者宣傳不留紀錄，但使用者實際上很難從外部確認。

2. 擋不了假網站和病毒

VPN保護的，只是裝置與VPN伺服器之間「運送途中」這一段。假冒真實公司、在假網站騙人輸入密碼的網路釣魚，經過VPN也一樣會送到。裝有惡意程式的檔案，也會在加密的狀態下被送過來。裝置本身若感染病毒，資訊會在進入VPN之前就被偷走。

3. 不會讓通訊變快

使用VPN時，通訊要繞道經過VPN伺服器。為了包裝而加上的標頭也會增加，所以通常會稍微變慢。

VPN設備本身成為攻擊目標

公司的VPN設備為了讓員工能從外部連線，對網際網路是開放的。也就是說，從攻擊者的角度來看，它是通往公司內部的入口。設備的設計或製作若有缺陷，就可能從那裡被入侵。這種缺陷稱為「漏洞」。美國負責網路安全的機關CISA，在2021年9月與國家安全局（NSA）發布了指引。指引指出VPN伺服器是網路的入口，容易成為目標，並整理了挑選與強化防護的方法。

實際的例子也有。2024年1月19日，CISA對美國聯邦政府機關發布了緊急指令。原因是Ivanti公司從公司外連進內部用的VPN產品等，其漏洞正被廣泛利用。1月31日又追加指示，要求在2月2日前把相關設備從網路上斷開。

日本也可以看到同樣的趨勢。擅自把公司的檔案加密，再以還原為條件要求付錢的惡意程式，稱為勒索軟體。根據日本警察廳，2025年日本的勒索軟體受害通報為226件。向受害組織詢問感染途徑時，六成以上的回答是從VPN設備入侵。

日本警察廳分析指出，被利用的是未更新設備的漏洞，以及外洩或容易被猜到的密碼等。防護的基本，是立刻套用設備的更新，以及刪除不用的帳號。再加上使用多因素驗證，也就是除了密碼之外，還用其他方式確認本人。

新的思維：零信任

公司的VPN在設計思維上也有弱點。一旦連上，就能到達公司內部網路的許多地方。如果有人用偷來的密碼連進來，攻擊者也會被當成「公司內部的人」。

因此逐漸普及的，是名為零信任的思維。它不以公司內或公司外的位置來決定信任。每次使用系統或資料時，都會確認是否為本人、裝置是否安全、用法是否必要。美國國家標準與技術研究院（NIST）在2020年8月公布了這種思維的指引（SP 800-207）。

零信任不是產品的名稱，而是逐步轉移的設計思維。與VPN的差異，整理在「邊界防禦與零信任的差異」的表格中。

常見的誤解

從數字來看

日本警察廳的感染途徑數字，來自對受害組織的問卷，只計算查明途徑的案例。它並不代表受害的全貌。即便如此，VPN設備連續3年都是最多的途徑。2024年緊接在後的，是從遠端桌面入侵的31件。遠端桌面是隔著網路、連同畫面操作遠處電腦的機制。

進一步學習

• 用表格比較VPN與零信任：邊界防禦與零信任的差異
• 公司網路的其他防護：防火牆、IDS、IPS、WAF的差異
• 公共Wi-Fi的加密與注意事項：「Wi-Fi是怎麼運作的？」
• 名稱查詢與隱私：「DNS是什麼？」（也介紹把查詢本身加密的方式）
• 讓VPN的密碼不容易被破解：「密碼為什麼會被破解？」