什么是 VPN 穿透，您还需要它吗？

VPN（新窗口）穿透是一项路由器功能，可让 VPN 流量通过您的防火墙和网络地址转换（NAT）（新窗口）。它本身不会创建 VPN 连接，但能确保路由器不会阻止您网络中的设备连接外部 VPN。

对于大多数企业而言，您无需对此进行配置或操心。像 Proton VPN 这样值得信赖的 VPN 默认就能与 NAT 协同工作，因此路由器会自动处理流量，无需任何特殊规则。

为什么会有 VPN 穿透？

VPN 穿透解决了旧版 VPN 协议与较新网络基础设施之间的兼容性问题。大多数网络使用 NAT 让多台设备共享一个公共 IP 地址。虽然这对常规流量有效，但一些旧版 VPN 在设计时并未考虑 NAT。

由于旧版 VPN 协议并不总是使用 NAT 能够解读的标准端口或结构，路由器无法跟踪数据的归属，连接因此会失败。VPN 穿透作为一种变通方案，帮助路由器识别并正确路由这类流量。

VPN 穿透是路由器内置的一组机制，用于支持特定的 VPN 协议。启用后，路由器会：

如果没有 VPN 穿透，路由器可能会阻止或错误路由流量，导致 VPN 无法连接。

不同的 VPN 处理数据的方式各不相同，因此穿透并非只有一种类型。如果您仍在使用较旧的系统，可能会根据所用协议看到不同类型的 VPN 穿透。

点对点隧道协议（PPTP）是最古老的 VPN 类型之一。它使用一种名为通用路由封装（GRE）的协议来发送和接收数据。然而，NAT 需要端口号来引导流量，而 GRE 不使用端口，这就产生了导致连接中断的冲突。

PPTP 穿透通过向数据中添加呼叫 ID 来解决这一问题。路由器将此 ID 视为端口号，从而让流量能够正确穿过防火墙。

第 2 层隧道协议（L2TP）的工作方式与 PPTP 类似。为了绕过 NAT 这一障碍，L2TP 穿透会为数据包分配一个会话 ID。此 ID 充当端口号的替代，让路由器能够识别流量并将其路由到正确的设备。

IPSec（互联网协议安全）使用一种名为 NAT 穿越（NAT-T）的技术来应对路由器。它将已加密的 IPSec 数据封装在标准的 UDP 数据包内。

由于路由器已经知道如何处理 UDP 数据包，IPSec 穿透可以使用特定端口（UDP 4500）建立连接。这使路由器能够正确映射和路由连接，同时保持加密数据的安全且不被改动。

VPN 是保护您数据的服务。它通过安全远程服务器路由您的连接，从而加密您的互联网流量并掩盖您的 IP 地址

VPN 穿透是路由器上的一项功能。它本身不会加密您的数据、隐藏您的 IP 地址（新窗口），也不会提供任何安全保护。它唯一的职责是识别 VPN 流量并允许其通过路由器的防火墙。

如果您使用的是一款优秀的 VPN，通常完全无需担心穿透设置，因为路由器会自动处理。

这两者经常被混淆，但它们的用途截然不同：

在大多数情况下，答案是否定的。VPN 协议在设计上就能自动处理 NAT。像 WireGuard（新窗口）、OpenVPN（新窗口）和 IKEv2（新窗口）这样的协议旨在让路由器无需任何手动设置或特殊规则即可跟踪连接并将数据发送到正确的设备。

Proton VPN 仅依赖安全的协议，因此默认与标准的路由器配置兼容。

除非您使用的是极为老旧的硬件或限制严格的企业防火墙，否则连接 Proton VPN 无需调整任何穿透设置。

只有以下情况，您才可能需要考虑 VPN 穿透：

否则，像 Proton VPN 这样的 VPN 客户端默认会处理这种兼容性问题。

大多数安全顾虑源于这样一个事实：VPN 穿透旨在帮助较旧、安全性较低的协议绕过标准的路由器防护。

对于大多数企业和个人而言，最好的安全策略是完全避免需要 VPN 穿透。如果必须使用它，请遵循以下步骤以确保您的网络安全：

优先使用最新协议：使用支持 WireGuard 或 OpenVPN 的 VPN，这些是 Proton VPN 的标准协议。它们旨在与路由器和 NAT 协同工作，无需 VPN 穿透。
停用不使用的功能：如果您的路由器默认启用了 VPN 穿透，而您使用的是 Proton VPN 这样的服务，则应将其关闭。减少路由器上的活动功能数量可以缩小您的攻击面。
定期审核路由器设置：人们很容易为了临时修复而启用某项设置，然后将其遗忘。请定期检查路由器固件，确保没有为已不再使用的旧版协议留下不安全的条目。
保持硬件更新：确保您的路由器固件为最新版本。制造商通常会发布更新，修补与路由器处理加密流量和端口管理方式相关的漏洞。

归根结底，您应将 VPN 穿透视为旧版系统的最后手段。如果您的基础设施允许，改用现代 VPN 设置是消除这些风险最有效的方法。