VPN新手安全的重点，是保管好订阅链接、辨认公共 Wi-Fi 风险，并确认哪些应用真的经过加密连接。连接图标亮起，不代表所有操作都受到相同保护。这份指南按建立账户、导入客户端、出行连接和泄露处理的顺序，给出可以照着执行的检查方法。
保护边界：加密连接不等于网站可信
加密隧道主要保护设备到隧道出口之间的传输。若应用流量确实经过隧道，本地网络通常难以直接读取其中的内容；但网络仍可能观察到连接的时间、流量规模以及隧道服务器地址。出口之后的保护还取决于目标应用是否使用 HTTPS 等端到端传输加密。
这与识别钓鱼网站是不同的问题。仿冒页面同样可以使用 HTTPS，锁形图标只说明浏览器与当前域名之间的连接受到保护，不说明商家、下载文件或表单本身可信。登录前应核对地址栏中的完整域名，不从陌生聊天消息里的“账户异常”链接进入面板。
普通代理也不一定接管整台设备的连接。浏览器采用系统代理时，游戏、命令行工具或其他应用可能仍然直连。VPNKZ 使用银行级加密，但用户仍需检查客户端接管范围、设备状态和目标网站，不能把加密理解为对所有风险的兜底。
账户与订阅链接应分开保管
账户密码用于登录面板，订阅链接通常用于取得节点及连接配置。后者可能带有访问令牌，拿到链接的人即使不知道登录密码，也可能获取配置或使用相应权限。因此，订阅链接应按凭据保管，而不是当成可以公开转发的教程网址。
VPNKZ 无需邮箱地址，使用用户名与密码即可建立账户。这能减少需要提交的信息，但也意味着不应自行假设存在邮件找回流程。建立账户后，将用户名与独立密码保存到可信的密码管理器，并先查看面板实际提供的账户恢复说明。
| 资料 | 主要用途与风险 | 保管方式 |
|---|---|---|
| 用户名与密码 | 用于面板登录；密码复用会扩大其他网站泄露的影响。 | 使用独立密码，保存在可信的密码管理器中。 |
| 订阅链接与二维码 | 可能包含访问令牌；二维码往往只是链接的另一种表达。 | 仅导入可信客户端，避免上传到公共相册或在线解码工具。 |
| 配置文件与连接日志 | 可能含节点凭据、访问域名及设备环境信息。 | 仅保留排障必需内容，提交前遮盖敏感字段。 |
| 付款凭证 | 用于核对订单，也可能带有个人及交易信息。 | 只通过面板工单按需提供，避免公开贴图。 |
截图前检查二维码、地址栏、节点详情和日志内容。只遮盖用户名并不够，完整订阅链接或连接凭据仍可能藏在画面的其他位置。
客户端导入：先确认来源，再交出配置
从可信入口取得客户端，比反复更换协议更重要。可先查看客户端教程，或在登录后的下载入口确认适用版本。不要把论坛附件、网盘重打包程序和官方发行版本视为同等来源；系统提示发布者、签名或安装来源异常时，先核实原因。
Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同的代理协议或方案名称，不是线路质量或隐私程度的统一评级。客户端支持的协议、传输方式及配置格式各不相同，不能仅凭名称互相替换。本文列举这些名称用于解释兼容性，不表示 VPNKZ 提供全部协议。
- 在可信设备上登录面板，取得适用于当前客户端的订阅，避免通过公共电脑中转。
- 使用客户端自带的订阅导入功能。若提示格式不兼容，先核对教程，不要立刻把链接提交给陌生在线转换站。
- 查看导入结果与更新来源，确认配置不是意外从剪贴板中的旧链接或他人分享内容取得。
- 连接后检查代理模式、DNS 设置及目标应用，再决定是否开启自动连接或订阅更新。
在线订阅转换服务通常需要读取原始链接和节点配置。确需转换时，优先选择客户端原生支持的格式，或在自己控制的可信环境中处理。无法说明数据去向的转换页面，不应接触有效订阅。
公共 Wi-Fi：先辨认网络，再处理登录
机场、酒店或咖啡店的网络名称可以被模仿。连接前向场所核对热点名称及入口，不把“信号强”当成可信证据。即使网络需要口令，也不能由此认定运营者或同一网络中的其他设备可信。
部分公共网络需要先经过认证门户才能联网。此时隧道可能尚未建立，只完成场所必要的网络认证即可；不要因为门户页面要求，就输入 VPNKZ 密码、订阅链接或其他网站的账户凭据。若系统弹出证书错误，也不要为了联网直接忽略。
- ✅ 向场所核对网络名称，关闭对陌生热点的自动加入。
- ✅ 在系统允许时将公共网络设为公共配置，关闭不需要的共享与发现功能。
- ✅ 完成必要认证后再连接客户端，确认目标应用可正常访问。
- ❌ 不因热点页面提示而安装来历不明的根证书、描述文件或远程控制工具。
- ❌ 不在出现域名异常、证书警告或反复跳转时继续填写敏感资料。
结束使用后，可取消记住该热点，减少日后自动重连。处理付款、企业内部资料等敏感事务时，若无法确认网络环境和设备状态，应换到可信连接后再继续，而不是反复绕过安全提示。
分流与 DNS：确认流量实际走向
规则分流让不同目标按规则选择代理或直连；全局代理通常让被客户端接管的流量统一走代理，但“全局”这个名称不保证所有进程都被接管。系统代理、虚拟网卡和应用内代理的作用范围不同，最终以当前客户端实现为准。
DNS 负责把域名解析成地址。若原本期望通过代理访问的域名，解析请求却意外发往本地网络的解析器，就可能暴露访问目标，这通常被称为 DNS 泄漏。规则明确要求直连的域名使用本地解析，并不必然是泄漏；判断时要对照原先的分流意图。
可以先用网络检测页面核对浏览器出口地区，再检查客户端 DNS 设置与规则命中日志。浏览器内的加密 DNS、系统解析器和客户端解析器可能并存，不能只看出口地址就宣布 DNS 检查通过。使用检测工具时，也应确认其来源与实际检测范围。
需要检查断线影响时，应先关闭敏感任务，再主动断开连接观察。部分客户端有阻止非隧道流量的选项，但不同系统的权限和行为并不相同。不要默认所有客户端都有该功能，也不要把自动重连等同于断线期间不会直连。
平台差异与线路名称，不是安全等级
Windows 与 macOS 客户端可能提供系统代理或虚拟网卡模式，启用后仍要核对应用是否遵循相应设置。iOS 与 Android 常通过系统提供的网络扩展或 VPN 接口工作，权限提示需要结合客户端来源判断。Linux 用户还应留意命令行工具、桌面代理和后台服务是否使用同一套配置。
IEPL 专线、中转和直连描述的是网络路径与承载方式，不是端到端安全认证。专线本身不能证明目标网站可信，也不等于所有应用都被接管；中转增加转发环节，直连则不经过同类中转路径。选线时可比较可达性与实际体验，保护凭据时仍执行相同规则。
链接泄露后，按权限处理而非只删截图
如果订阅曾发到公开群组、在线转换站或不可信设备，应把它视为可能已被复制。撤回消息和删除截图只能减少继续传播，无法收回他人已经保存的内容。先停止转发，记下暴露途径，再处理对应的访问权限。
- 通过可信入口进入面板，查看是否提供订阅重置、令牌更换或设备管理功能。
- 若具备重置能力，完成更换后重新导入可信设备，并确认旧链接是否已经失效。
- 若登录密码也曾暴露，修改账户密码；不能假设改密码会自动使旧订阅失效。
- 若无法确认撤销方式，通过面板工单说明情况，请求核实，而不是把有效链接贴到公开讨论区。
如果问题来自不可信客户端，还要检查系统中的描述文件、证书、代理配置和相关权限。处理完设备环境后再导入新凭据，否则新链接可能再次暴露。排障只提供必要资料，不主动提交密码、完整订阅或与故障无关的个人文件。
日常安全便签：减少不必要的交付
每次安装或求助前，先问清楚对方需要什么、为什么需要、资料会交给谁。VPNKZ 建立账户无需邮箱地址；遇到额外表单时，应核对是否仍在可信入口，以及这些字段是否与当前操作有关。支付页面和网络服务面板的资料需求也应分开判断。
平时维护系统与客户端更新，保留可信来源的配置备份，在更换或转交设备前退出账户并清理订阅。隐私策略应以服务当前公布的条款为准，不从“加密”“专线”等标签推导不存在的承诺。把权限范围看清、把凭据留在可信设备上，比追逐听起来更强的技术名称更有用。