VPN 是怎么工作的：数据走了哪条路

VPN 工作的核心说白了就一句话：设备不再直接和目标网站对话，而是先跟一个中间节点建立连接，再由节点替你转发。这篇按数据实际走的顺序讲清楚这一路发生了什么，包括很多人搞混的 DNS 和 IP 变化这两件事。

想先弄清楚 VPN 整体解决的是什么问题、日常在哪些场景里用得上，VPN 是什么那篇从更基础的地方讲起，这篇假设你已经知道「要连 VPN」，专讲连上之后数据具体怎么走——从设备出发，到最后内容传回来，一步都不跳过。

先看没有 VPN 时，数据怎么走

没有 VPN 的时候，设备发出的请求先到本地网络（家里的路由器或者手机信号塔），再经过运营商的网络，才到目标网站。这一路上，运营商能看到你连的是哪个网站，也能看到连接的大致时间和时长；如果目标网站本身没有用加密连接，运营商理论上还能看到传输的内容。

这条路径是默认状态，多数人平时不会意识到它的存在——直到需要多加一层的时候，才需要弄清楚这条默认路径原来是什么样子，也才能看清楚 VPN 到底改变了哪一段。运营商能看到"连了哪个网站"这件事本身不算新闻，路由能工作的前提就是沿途每一站都得知道包裹该往哪转，VPN 要做的不是让这件事消失，而是换一个地方发生。

连上 VPN 之后，这条路多了一段

打开 VPN、点连接，设备做的第一件事是跟服务商选定的节点建立一条加密连接，这条连接建立之后，之后所有的网络请求，都会先经过这里，而不是直接发往目标网站。这一步通常几秒钟就能完成，连接状态从「未连接」变成「已连接」，就是这一步做完了的信号，之后不用再手动做什么，剩下的转发都是自动完成的。

请求到达节点之后，节点把加密的外层拆开，看到你实际要去的目标地址，再用自己的身份（自己的 IP）把请求转发出去。目标网站收到的请求，看起来是节点发出的，不是你设备本身发出的——这也是为什么网站判断"你在哪"会跟着变成节点所在的地方，后面会展开讲这一点。

目标网站处理完请求，把内容传回给发出请求的那一方——也就是节点。这一步和普通上网没什么不同，目标网站并不知道节点后面还连着谁，处理方式跟对待任何一个普通访客没有区别——对目标网站来说，这次访问看起来就是节点自己发起的一次普通访问。

节点拿到目标网站传回的内容，重新加密，沿着最开始建立的那条连接传回设备，设备解密后，你才看到最终的网页或者 App 内容。整个过程通常只需要零点几秒，感觉不到中间多转了一次，日常刷网页、看视频的体验跟直接连接几乎没有分别，除非线路本身质量不好，才会感觉出多了一段路要走。

DNS 在这中间扮演了什么角色

打开一个网站，设备首先要做的是把你输入或者点击的域名换算成一串数字地址，这一步叫 DNS 查询，日常可以理解成查一本电话本——你知道对方的名字，但拨号前得先查到对应的号码，浏览器和 App 也是先查到地址，才知道该往哪发请求，这一步发生在真正的数据传输之前，是整条链路里很容易被忽略的一个环节。

DNS 这一步如果没跟着 VPN 这条隧道走，而是继续用你本地网络的查询通道，会出现一种「裂开」的情况：主要的流量走了 VPN 加密隧道，但 DNS 查询这一小段还在本地网络那边完成，本地网络这时候依然能看到你查询过哪些域名，等于间接知道了你访问了哪些网站，哪怕主流量本身是加密的。这种情况有个专门的名字，DNS 泄漏是什么，怎么自查那篇讲了具体怎么检查、怎么确认自己有没有踩到这个坑。一个设计合理的 VPN 客户端会把 DNS 查询也一起塞进同一条隧道，这样本地网络连"查询过哪些域名"都看不到，不用用户自己额外操心这一步。

为什么你看到的 IP 地址变了

网站和 App 判断「你在哪里」，很大程度上依据的是连接过来的那个 IP 地址。没连 VPN 的时候，这个地址是你自己网络的出口地址；连上 VPN 之后，节点用自己的身份转发请求，网站看到的地址变成了节点的，不是你设备原本的。这也是为什么选节点的时候，节点所在的地区会影响网站给你展示的内容——语言、货币单位，甚至能不能打开某些页面，都可能跟着这个地址一起变。

这张表里的变化，都是「地址层面」的变化，不是「消失」——网站依然收到了一个地址，只是这个地址换成了节点的，网站自己的判断逻辑还是照常运作，只是输入的信号变了。把这张表和前面"没有 VPN 时数据怎么走"那一节放在一起看，会更清楚：多出来的不是一个全新的机制，只是在原来那条路径中间，插入了节点这一站。

换节点之后，为什么有些网站又要重新验证一次

不少网站和 App 会把「连接过来的地址」当成判断「是不是同一个人在用同一个会话」的信号之一。换了节点，这个信号跟着变了，有些服务会因此多问一次身份验证，或者要求重新登录——这不是 VPN 出了故障，是对方的判断逻辑把地址变化当成了一个值得多确认一次的信号，属于正常反应。

VPN 登录失败、验证码收不到怎么办那篇讲了具体遇到这类情况该怎么处理，多数时候换回原来那个节点，或者干脆固定用一个节点，就能减少这种反复验证的情况——道理很简单，信号越少变化，对方越少理由多问一次。如果连上之后查到的 IP 显示还是国内，没有变成节点的地址，连上 VPN 后 IP 还显示国内那篇专门排查过这种情况，跟这篇讲的原理是同一套，多半也是某个环节没跟着这条隧道一起走。

总结

VPN 工作的整个过程，说白了就是设备先连节点，节点替你转发，目标网站把内容传回节点，节点再传回设备，来回都走同一条加密隧道。这条路径里，DNS 查询要不要跟着走同一条隧道、网站看到的 IP 地址会不会变，是两个最容易被忽略、也最值得弄清楚的细节，前者决定了本地网络还能不能看到你访问了哪，后者决定了网站怎么判断你的位置。

想先弄清楚 VPN 整体解决的是什么问题、日常在哪些场景里用得上，本篇开头提到的那篇文章从更基础的地方讲起，两篇合起来看，「是什么」和「怎么工作」这两件事就都讲全了。快橙处理的正是上面这整条路径——一键连接、自动选节点，注册后每天有免费试用时长，先连上测一次比读完这篇更直观。