VPN、机场和代理有什么区别？科学上网新手指南

资料核对：2026 年 9 月 27 日。本文解释技术概念与选择方法，不包含商业服务测速或购买排名。

VPN、代理和“机场”有什么区别？ VPN 通常通过隧道承载被路由进去的网络流量；代理替应用转发请求；中文网络讨论中的“机场”通常指提供代理节点或订阅的服务商。三者分别涉及连接技术、转发方式和服务形态，不能只看名称判断速度、隐私或可用性。

如果你在搜索翻墙、科学上网或机场教程，第一步是分清自己买了什么服务、使用什么客户端，以及哪些流量实际经过它。下面先给出对照，再介绍如何检查。

VPN、代理、机场和客户端：一张表分清

名称	它主要指什么	使用前需要确认什么
VPN	在设备与另一端之间建立网络隧道的技术或产品	是全隧道还是分流？DNS 和 IPv6 如何处理？
代理	代替应用连接目标服务的转发方式	哪些应用支持？是否加密？域名由哪一端解析？
机场	社区对部分节点订阅服务的俗称，没有统一技术标准	实际协议、节点、流量规则和客户端支持是什么？
客户端	导入配置、建立连接并执行规则的软件	来源是否可信？版本和订阅格式是否兼容？
节点	配置中可选的连接端点或线路入口	当前可达性、出口和实际目标访问表现如何？

例如，订阅是一份服务配置的获取入口，客户端负责读取它，节点是其中可用的连接选项。购买订阅并不意味着客户端已经配置好；客户端成功启动，也不意味着每个应用都走代理。

VPN 会接管整台设备的流量吗？

这取决于路由和产品配置。全隧道通常希望让大部分外部流量进入 VPN；分流则允许部分应用或目的地址走原来的网络。Mozilla 对其 VPN 的说明展示了设备层加密的使用方式，但不能把某个产品的默认行为套用到所有 VPN 上。Mozilla：VPN 的作用

因此，“VPN 已连接”更接近一个连接状态提示。它不能单独证明目标网站可达，也不能证明 DNS、IPv6 或所有后台程序都在预期路径上。

日常使用可以先列出三个目标：浏览器打开网页、常用软件登录、需要的文件传输。分别验证，比只看连接按钮更有意义。

代理一定会加密吗？

不一定。“代理”描述的是转发关系，是否加密要看协议以及每一段连接。

以 Shadowsocks 为例，官方文档描述了本地组件与远端组件之间的加密转发：远端收到数据后再连接目标。它属于代理体系，不能仅凭使用了 Shadowsocks，就推断所有应用流量都会被接管。Shadowsocks 官方说明

还要区分代理隧道加密与网页 HTTPS：前者保护特定代理链路，后者保护浏览器与网站之间的内容传输。访问敏感账号时，应检查 HTTPS 是否正常，不能因为开启了代理就忽略证书异常。

系统代理、TUN、规则模式分别解决什么问题？

这些选项常出现在代理客户端中，但含义不同。

系统代理是把代理地址告诉使用系统设置的应用。Windows 提供自动检测、配置脚本和手动代理等入口；具体应用是否采用这些设置，还要看它自身的实现。Microsoft：Windows 代理设置

TUN通过虚拟网络接口配合路由承接流量。它可能覆盖不使用系统代理的程序，但仍受路由、排除项和 DNS 配置影响。以 Mihomo 为例，自动路由、出口接口和 DNS 接管是分别配置的功能。Mihomo TUN 文档

规则模式决定哪些目标直连、哪些交给代理。“全局”一词也需要结合客户端理解：把进入客户端的请求统一交给某个节点，不等于操作系统上所有流量都已经进入客户端。

一个实用检查顺序是：先确认应用采用哪种接入方式，再确认请求是否出现在客户端连接记录中，最后查看匹配的规则和出口。无需一开始就打开所有高级开关。

改 DNS 就等于翻墙吗？

不等于。DNS 负责把域名转换成网络地址；它不是完整的数据传输通道。DNS over HTTPS（DoH）把 DNS 查询放在 HTTPS 连接里，改善这一段查询传输的隐私，但不会自动代理后续的网页请求。Mozilla：DNS over HTTPS

如果问题出在域名解析，更换合适的解析方式可能有帮助。如果问题出在后续连接、线路或目标服务，改 DNS 未必能解决。浏览器与系统还可能使用不同的解析设置，因此“浏览器能打开，软件打不开”值得分开调查。

新手如何选择：先写需求，再看服务名称

下面是一份可以直接填写的选择清单。它用于比较方案，不代表对任何服务商的推荐。

需要记录的项目	你的答案	它影响什么
常用设备与系统	例如 Windows 电脑、手机	是否有可靠且兼容的客户端
需要联网的应用	浏览器、会议软件、终端等	系统代理是否足够，是否需要设备层接入
实际用途	阅读、会议、下载或远程工作	要测吞吐量、延迟还是连接连续性
主要使用时段	白天、晚间或移动途中	测试应覆盖真实使用条件
可接受的维护成本	是否愿意配置规则和排查日志	应选择怎样的交付与支持方式

如果你已经拿到订阅，先核对客户端是否支持其中的协议和配置格式。如果你只是想让某个应用联网，优先确认该应用支持的代理方式。需要多种程序同时工作时，再评估 TUN 或 VPN 是否更贴合需求。

“支持很多节点”“使用新协议”和“距离很近”都不能替代真实用途测试。判断时记录同一设备、同一网络、同一时间段下的表现，避免把环境差异误当成服务差异。

常见问题

买了机场，还需要再买 VPN 吗？

没有统一答案。先看现有服务提供什么协议、客户端覆盖哪些应用，以及它是否满足你的用途。重复购买不同名称的产品，不一定能解决接入配置或线路问题。

节点显示低延迟，为什么网页仍然很慢？

客户端的延迟测试往往只覆盖某个测试目标或部分连接过程。网页加载还涉及解析、多个资源请求、目标服务器响应和线路拥塞，单一数字无法代表全部体验。

开启 VPN 或代理之后，会完全匿名吗？

不会。登录账号、Cookie 和设备特征等仍可能把访问关联起来。选择工具时，应分别考虑连接加密、服务商可信度和网站侧身份，而不是把“能连接”理解为“无法识别”。

继续阅读

对术语有了基本认识后，下一步就是验证你的实际应用。保留配置版本和测试记录，后续更容易判断问题来自客户端、规则还是线路。