VPN 会在您的设备与 VPN 服务器之间建立加密连接。简而言之：
您的设备 → 加密隧道 → VPN 服务器 → 互联网
没有 VPN 时，您的设备会通过本地网络和 ISP 直接连接到目标网站。虽然 HTTPS 会加密与网站之间交换的内容，但 ISP 或本地网络运营商仍然可以看到连接的一些细节，例如您访问的是哪个网站。
VPN 会额外增加一层加密，并让您的网络流量经由 VPN 服务器转发，从而改变网络流量的传输路径。想了解基础知识，可阅读我们的配套指南： 什么是 VPN？
整个过程通常会在几秒内自动完成。
VPN 应用与 VPN 服务器先完成一次初始“握手”（Handshake）：互相验证身份，并协商加密密钥。
数据包在离开您的设备之前，就会按当前使用的协议进行加密。
加密后的数据经过您的本地网络。ISP 能看到您连接了 VPN，但看不到其中的内容。
VPN 服务器接收并解开隧道这一层的加密，再代表您将请求转发给目标网站。
响应沿同一条加密隧道返回，并显示在您的设备上。
二者并不相同，也不是重复功能；它们分别保护网络连接中的不同部分。下图展示各自覆盖的范围：
保护您与 VPN 服务器之间的连接。结果：通常情况下（且无 DNS 泄漏时），ISP 和本地网络（例如咖啡馆 Wi-Fi）无法看到您访问了哪些网站。
保护您与网站之间的通信。结果：您输入的密码和表单信息，对任何中间方（包括 VPN 服务器）都无法读取。
对安全工具有现实的认识，才能避免盲目自信。VPN 通常：
VPN 开启后，您的信息会分散在三方之间，没有任何一方能看到全部信息。ISP 只知道您连接了一台 VPN 服务器，通常不知道您接下来去了哪里。VPN 服务器通常能看到您连接了哪些网站，但在 HTTPS 网站上无法读取内容。目标网站能看到您的请求，却看不到您的真实 IP。
更多细节：ISP 仍然可以看到您流量的体积和时间规律。在正确配置下，DNS 请求同样会通过这条隧道。VPN 服务器本身会看到您设备的真实 IP；但如果您访问的是 HTTPS 网站，TLS 加密通常使它无法读取页面内容、表单信息或密码。
两者都会改变您的 IP，但 VPN 通常覆盖整个系统并对路径加密，而代理往往只覆盖单个应用（如浏览器），其加密程度取决于代理类型。想深入了解，请阅读 VPN 与代理对比。
WireGuard 是一种现代、轻量且快速的协议，采用先进的加密技术。 Xray/V2Ray 是一个通信平台，支持多种传输方式。REALITY 是 Xray 生态中的一项技术，设计用于流量伪装，在架构上与 WireGuard 这类 VPN 协议不同。更详细的对比请阅读 WireGuard 与 V2Ray 对比。
如果开启了 Kill Switch（断网保护），VPN 软件通常会尝试立即切断互联网流量。如果 Kill Switch 未开启或不可用，您的流量可能会回到普通连接，从而暴露真实 IP；具体行为取决于客户端和操作系统。请参阅 VPN 连接不上怎么办。
“VPN 服务器能看到我所有的密码。”
事实在 HTTPS 网站上，TLS 加密在隧道内依然有效；VPN 服务器通常无法读取表单内容或密码。
“所有连接协议的表现都一样。”
事实WireGuard 注重速度，而 Xray/REALITY 则是为流量伪装而设计的。
“VPN 一定会强制加密所有流量。”
事实分应用代理（Split Tunneling）功能可以让部分应用不经过 VPN。
会。目标网站看到的是 VPN 服务器的 IP，而不是 ISP 分配给您的公网 IP。
能。ISP 可以看到您的设备正在与某台 VPN 服务器的 IP 通信，但通常无法读取隧道内的内容；流量的时间和大致模式仍可能被看到。
在全隧道模式下会，除非某个应用被 Split Tunneling 排除在外。
VPN 通常会增加少量延迟。具体程度取决于协议、服务器距离、网络路径和连接质量。
在配置正确且无 DNS 泄漏的情况下，DNS 请求可以走隧道，并由为该连接设置的 DNS 来解析。