VPN新手安全指南：先认清保护边界
VPN新手安全指南首先要回答的，不是节点怎么选，而是订阅链接保管、公共 Wi-Fi 与隐私保护分别解决什么问题。连接成功只说明当前网络路径可用，不代表账号、浏览器和设备上的风险都已消失。
日常被称为 VPN 的服务，可能通过系统隧道工作，也可能由代理客户端按规则转发流量。系统代理不一定覆盖所有应用；隧道模式也可能设置绕过规则。因此，界面上的“已连接”不能直接等同于全部流量受到同样保护。
受保护连接可以降低本地网络观察或篡改部分流量的风险，但钓鱼网页仍可能骗取密码，恶意扩展仍可能读取网页内容。目标网站也能通过登录账号、Cookie 等信息识别访问者。安全使用需要同时管理凭据、设备和连接配置。
核心结论：把订阅链接当作访问凭据，把公共 Wi-Fi 当作不可信网络，把 VPN 当作网络路径工具，而不是身份匿名或设备安全的保证。
订阅链接保管：按密码处理
订阅链接通常包含访问令牌。客户端请求这个地址后，会获得节点配置或相关连接信息。持有有效链接的人，可能无需进入面板就能获取这些配置，进而占用套餐流量。具体权限取决于服务设计，不能因为链接看起来只是网址就公开分享。
账号密码、订阅链接和节点配置不是同一类凭据。修改登录密码未必会让旧订阅失效；重置订阅链接后，已经下发的节点凭据是否随之撤销，也需要向服务方确认。处理泄露时，要检查各自的失效机制，不能只完成修改密码便停止排查。
| 信息类型 | 主要风险 | 建议处理 |
|---|---|---|
| 面板账号与密码 | 账号被接管，设置或凭据被修改 | 使用独立密码，保存在可信密码管理器中 |
| 完整订阅链接 | 配置被获取，套餐资源被他人使用 | 仅交给可信客户端，不发到公开页面 |
| 节点二维码与配置文件 | 连接凭据随截图或附件外流 | 按敏感文件保管，发送前移除认证内容 |
| 客户端诊断日志 | 域名、请求地址或令牌意外暴露 | 先检查并脱敏，再经正式支持渠道提交 |
不建议用公开的在线订阅转换网站处理真实链接。转换服务若需要抓取订阅，就可能接触原始凭据和配置。确需转换格式时，优先查阅官方支持的导入方式，或使用来源可信、在本地运行的工具。
客户端导入与权限检查
从服务面板或客户端项目的正式渠道获取软件，核对应用名称、发布者与下载来源。不要把搜索结果中的广告下载页当作官方入口，也不要因为文件名写着“专用版”就跳过来源检查。7GVPN 的客户端入口可在用户面板查看；登录后获取订阅，iOS 下载另以有效套餐为准。
- 确认格式兼容。核对客户端是否支持订阅中的协议与配置格式。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 不是可随意互换的名称，改文件后缀不能补齐协议支持。
- 在本机完成导入。将订阅地址粘贴到可信客户端的订阅入口。若使用二维码，留意相册备份和共享设备是否会同步这张图片。
- 核查请求权限。系统提示添加 VPN 配置或启用隧道扩展可能属于正常流程；读取通讯录、整库照片等权限，应有与功能对应的明确理由，否则先拒绝并核实。
- 更新后复查。检查活动配置、路由模式、DNS 和自动更新来源。新配置可能改变分流行为，不应只看节点列表是否出现。
Windows、macOS、Android 与 iOS 的网络接口和后台限制不同，同名开关不一定有相同效果。桌面端常见的系统代理主要影响遵循该代理设置的应用；移动端通常通过系统提供的 VPN 接口承载流量，但覆盖范围仍由客户端与系统配置决定。
公共 Wi-Fi：先核实网络，再处理敏感操作
机场、酒店或咖啡店的无线网络名称可以被仿冒。自动连接曾经使用过的同名网络，不代表接入了同一家机构的设备。连接前向现场人员确认网络名称，关闭不必要的自动加入功能；离开后移除不再需要保存的公共网络。
需要网页认证的热点，可能在隧道建立前要求完成接入流程。此时只处理必要的联网步骤，不要顺手登录重要账号。若客户端阻止认证页面打开，可参考系统与场所的正式指引处理，完成认证后重新建立连接并检查状态。
HTTPS 能保护浏览器与目标站点之间的传输，但地址栏出现 HTTPS 不代表网站本身可信，钓鱼站也可以使用有效证书。相反，遇到证书错误时不要忽略警告继续访问，也不要按照陌生热点页面的要求安装根证书或设备管理描述文件。
- ✅ 核对热点来源与登录域名，敏感操作前确认连接已恢复。
- ✅ 在公共网络关闭不必要的文件共享和设备发现功能。
- ✅ 保持系统、浏览器和客户端更新，保留证书警告。
- ❌ 不在陌生认证页填写其他网站的账号密码，不执行页面提供的未知命令。
如果无法确认热点来源，或者连接不断中断，应暂停支付、修改密码等操作，换到可信网络后再继续。频繁切换节点不能解决接入点本身不可信的问题。
DNS、分流与断线后的隐私边界
DNS 用于把域名解析为网络地址。如果应用流量走受保护路径，而 DNS 查询仍交给本地网络的解析器，域名信息就可能沿另一条路径暴露。是否属于 DNS 泄漏，要相对于预期策略判断：主动让本地网站直连并使用本地解析，与国际站点意外绕过预期路径并不相同。
浏览器的加密 DNS 设置、客户端 DNS 配置和系统解析行为可能相互影响。加密 DNS 保护的是解析请求的传输，不会自动让网页流量进入代理，也不能单独证明出口位置。检查时应同时观察客户端解析日志、规则命中情况和测试页面显示的解析器。
可先通过我的 IP 页面观察当前浏览器的出口，再打开实际使用的应用验证。浏览器测试不能证明其他应用也走同一路径。IPv6、应用自带代理、直连规则与网络切换，都可能导致不同结果；测试网站也可能获得访问时的网络信息，不要向其提交订阅凭据。
“全局模式”通常指客户端接管范围内的流量采用统一策略，不必然等于整台设备的全部通信。若客户端提供断线阻断功能，应阅读说明并实际断开连接验证：失去隧道后，目标应用是停止联网，还是回退到原网络。不同系统和客户端的行为可能不同。
信息最小化与泄露后的处理步骤
创建账号时，只提交服务流程明确要求的信息。若某项资料标注为选填，先判断它是否确有必要；无需邮箱地址的注册流程，也没有必要额外填写邮箱。不要在用户名、工单标题或公开求助内容中拼接真实姓名、工作单位和其他账号标识。
阅读隐私政策时，应区分账号资料、支付记录、连接元数据与浏览内容。“无日志”或“不记录浏览内容”属于策略声明，需要结合记录范围、保留方式与适用条件理解，不能据此推导出所有数据都不会产生或所有场景都无法关联身份。
发现订阅链接出现在群聊、公开仓库或共享文档后，先撤回或删除公开内容，同时在面板查找重置订阅或撤销凭据的功能。随后更新自用设备，确认旧链接是否失效，并向支持人员核实已导出配置的撤销方式。删除帖子不代表已被复制的内容消失。
如果账号密码也可能泄露，应在可信设备上更换独立密码；服务若支持会话管理或额外身份验证，可检查并启用。其他站点若复用了该密码，也需要分别修改。怀疑客户端来源有问题时，先停止使用并检查设备，再生成新凭据，避免新链接再次被读取。
新手执行重点：可信来源获取客户端，独立保管登录密码与订阅链接，公共网络不忽略证书警告，导入后验证分流和断线行为。遇到问题时提交脱敏信息，比公开完整配置更有利于安全排查。
需要核对具体导入流程时，可查看使用指南；涉及账号与服务规则的问题，先查阅常见问题。网络工具的保护范围取决于配置与使用方式，持续核查比只记住某个开关名称更可靠。