VPN（Virtual Private Network，虚拟专用网络）在你的设备和远程服务器之间架起一条加密隧道。 开启后，你的全部网络流量先被加密送到 VPN 服务器，再由它代替你访问目标网站。 拨动下面的开关，观察数据路径和「运营商（ISP）能看到什么」的实时变化。
VPN 的核心魔法是「加密 + 封装」。把它想象成寄快递：你把信（数据）装进一个上了密码锁的箱子（加密）， 再套上一个只写着中转站地址的新快递单（封装）。沿途的快递员只看得到外层单子。点击下面的步骤逐步观察。
握手时用非对称加密（公私钥）安全地交换一把临时密钥，之后用更快的对称加密（AES）传数据。两全其美。
每次会话生成全新临时密钥（PFS）。就算某天密钥泄露，也无法解密过去录下的流量。
每个包都带 HMAC 校验码。中途被人篡改一个比特，接收端立刻发现并丢弃，防止注入攻击。
在左边输入任何文字，右边实时显示加密后的密文（演示用简化 XOR，真实 VPN 用 AES-256、ChaCha20）。 点击中间钥匙更换密钥——同样的明文，不同的钥匙，密文天差地别。这就是为什么没有钥匙的人只能看到乱码。
「协议」就是客户端和服务器之间约定的通信语言和加密规则。它分两大阵营：传统 VPN 协议（重在安全和全局）， 和为穿透审查而生的 加密代理协议（重在伪装和不被识别）。下面的进度条表示各协议的相对特性。
代理与 VPN 协议这二十多年，本质是一场「识别 ↔ 伪装」的攻防军备竞赛。每一代新协议，几乎都是为了解决上一代「被识别、被封锁」的问题而生。
PPTP 协议出现。VPN 最初是为「企业员工远程安全接入公司内网」设计的，和「翻墙」毫无关系。
基于 TLS 的开源 VPN 诞生，安全又灵活，成为日后无数商业 VPN 服务的底层基石。
用「无明显特征」的加密代理绕过审查，开启了「加密代理」时代，从此与传统 VPN 分道扬镳。
更工程化的平台。VMess 支持多路复用、动态端口、混淆，用来应对日益强大的深度包检测（DPI）。
放弃「无特征」思路，反其道而行——把流量做得和真实 HTTPS 一模一样，主打「像，就藏得住」。
WireGuard 让 VPN 重新变快变简；Hysteria、TUIC 等基于 QUIC/UDP 的协议主打弱网高速。
「借用」真实大站证书做伪装，无需自有域名即可抗封锁，成为当前最强隐蔽方案，攻防进入新阶段。
日常中文语境里这三个词常被混用，但它们其实是三个不同层面的东西。看懂这张图，你就超过 90% 的人了。
在操作系统层建立虚拟网卡，所有应用的流量都进隧道。重点是「安全连接」。
程序把请求交给代理转发，可以按规则分流：哪些直连、哪些走代理、哪些拦截。重点是「灵活 + 伪装」。
提供一批加密代理节点订阅服务的商家。名字来自梯子圈「飞机场」梗——这里全是「起飞」的节点。
点击「播放完整流程」看一次完整链路动画；也可以直接点击图中任意角色，查看它的职责说明。
同样是节点，速度和价格能差十倍，差别就在线路——数据从国内到海外节点走的是哪条「路」。 下面从便宜到高端排列，价格越高通常越稳定、延迟越低。
流量直接走公网到海外节点。便宜，但高峰期容易拥堵、丢包，晚上看视频可能卡成 PPT。
国内先用优质 BGP 机房中转，再出海。绕过拥堵的公网路由，延迟和稳定性明显提升，性价比之选。
国际以太网专线，不经过公网，流量在运营商内部专用通道传输。延迟极低、几乎不受墙影响、晚高峰也满速。贵。
很多人分不清这三个名字。关键是区分两层：内核（实现加密协议的引擎）和客户端（带界面的 App，内置或调用内核）。 下图三层结构一看就懂。
苹果生态最流行的「小火箭」。自带内核，几乎支持所有主流协议，开箱即用。
Clash 是个内核，强项是强大的规则分流和策略组。原作者删库后由 mihomo（Clash.Meta）延续。
V2Ray 创造了 VMess 协议；社区分叉 Xray 推出更强的 VLESS + Reality。它们既是内核，也是服务端。
| 对比项 | Shadowrocket | Clash 系 (mihomo) | V2Ray / Xray |
|---|---|---|---|
| 定位 | iOS 客户端 | 规则引擎 + GUI | 协议内核 / 服务端 |
| 平台 | iOS · macOS | Win·Mac·Linux·安卓 | 全平台（内核） |
| 价格 | 付费 (~$2.99) | 免费开源 | 免费开源 |
| SS/VMess/VLESS/Trojan | ✓ 全支持 | ✓ 全支持 | ✓ 全支持 |
| Hysteria2 / TUIC | ✓ | ✓ (mihomo) | 部分 |
| 规则分流 | 中等 | 最强 | 强但配置难 |
| 订阅支持 | ✓ 多格式 | ✓ 事实标准 | 依赖 GUI |
| 上手难度 | 低 | 中 | 高 |
「为什么国内网站直连、国外网站走代理、广告被拦截？」因为客户端会拿每个请求从上往下逐条匹配规则，命中即停。 输入一个域名（或点快捷标签），看看它命中哪条规则、走哪条路。
开了代理 ≠ 绝对安全。最常见的漏洞是 DNS 泄露——你的「网址 → IP」查询没走隧道，而是偷偷发给了本地运营商的 DNS。 于是流量内容虽然加密了，但「你在查哪个网站」还是被看到了。点下面切换，看两种情况的区别。
技术之外，这些「软知识」能帮你少花冤枉钱、少踩雷。
订阅链接 = 你的账号钥匙。泄露 = 别人能蹭你流量、甚至拿你的出口 IP 干坏事。不要发到群里、不要截图带链接、定期在面板重置。
不同国家/地区对此类工具的法律规定差异很大。本站只讲技术原理。请务必了解并遵守你所在地的法律法规，不要用于任何违法用途。
点击展开。这些是新手最常问的问题。