早上出门，手机从家里的 Wi-Fi 切换到了 4G。到了火车站，它又自动连上了你有一次等晚点火车时连过的 Wi-Fi。晚上回到家，你重新打开电脑。这一整天里，VPN 都应该开着吗？
在你无法掌控的网络上，应该开着，而且最好让它自动保持开启，不用你操心。在家里，开不开都可以，由你自己决定。如果某个网站拒绝连接，或者打印机没反应了，与其反复折腾，不如调整一下 VPN 的设置，或者暂时把它关掉。
真正值得一直开着的场合
在你无法掌控的网络上
酒店、火车、咖啡馆、度假民宿：在这些地方，你既不知道网络由谁管理，也不知道它是怎么配置的。法国数据保护机构 CNIL 在一篇关于使用公共 Wi-Fi 的文章（法文）中提醒，黑客很容易就能用某家餐厅的名字建一个 Wi-Fi 热点。CNIL 建议，传输个人数据时优先使用移动网络；如果别无选择，就尽量访问 HTTPS 网站，并使用 VPN。
HTTPS 已经把你和大多数网站之间往来的内容加密了。VPN 则在此之外多做了一件事：正常情况下，网络管理者看不到你在访问哪些网站，只能看到一条通往 VPN 服务器的连接。VPN 在这类网络上能防范什么、不能防范什么，我们的公共 Wi-Fi 指南有更详细的说明。
手机自动切换网络时
这是支持“一直开着”最有力的理由。手机只要回到某个已保存 Wi-Fi 的覆盖范围，就可能自动重新连上。CNIL 也建议，只对办公室和家里的网络开启自动连接。
如果开不开 VPN 全凭你记不记得，它就很可能偏偏在手机切换网络时是关着的。把它设置成始终保持开启，你就不用再惦记这件事了。
VPN 即使开着，也做不到的事
VPN 保护的是数据传输的路径，而不是你拿这些数据做什么。即使隔着 VPN 的加密隧道，假冒网站照样能收到你输入的密码，恶意附件依旧有害，密码已经泄露的账号也还是有风险。
电子前哨基金会（EFF）是美国一家捍卫数字自由的非政府组织。它认为，各种 VPN 广告大大夸大了这类工具的好处，使用强密码、设置双因素认证和及时更新软件反而更有效。VPN 也不能让你匿名：一个已登录的账号或者 Cookie，就足以认出你。
在家里：可开可不开
在家里，谁在连你的 Wi-Fi，你一般心里有数。剩下要考虑的是宽带运营商。有了 HTTPS，它看不到你具体浏览了哪些页面，也看不到你在页面上输入的内容。不过，正如 EFF 关于如何选择 VPN 的指南所说，它能看到你访问的网站名称和访问时间。
开着 VPN，宽带运营商就看不到这些信息了。但这些信息并没有因此消失：现在能看到它们的，换成了 VPN 服务商。所以，在家里一直开着 VPN，其实是把你的信任从一方转移到了另一方。如果你信任 VPN 服务商胜过宽带运营商，一直开着就是顺理成章的选择；否则，也没有非开不可的理由。
还有一点限制：VPN 应用只保护安装了它的那台设备。电视或游戏机仍然照常通过家里的路由器上网。
一直开着 VPN 的代价
网速和响应时间。你的数据要绕道 VPN 服务器，途中还要经过加密。这种影响有多大，要看服务器的远近和负载：可能察觉不到，也可能比较明显，尤其是在玩网络游戏这类对延迟格外敏感的时候。如果拿不准，可以按照我们的指南《VPN 为什么会降低连接速度？》中的方法，分别在开启和关闭 VPN 时测一测。
电池续航。维持隧道、加密每一次数据往来，都需要手机多做一些工作，具体多少取决于机型和你的使用习惯。用上几天后，可以到电池设置里看看，VPN 应用是不是耗电大户。
验证码。Google 解释说，如果与你使用同一个 VPN 的其他用户在自动发送搜索请求，你就可能看到“我们的系统检测到您的计算机网络发出了不寻常的流量”这条消息。这时，通常只需完成一次 reCAPTCHA 验证（勾选一个复选框，有时还要通过一个看图小测试）。
拒绝 VPN 的服务。有些服务会屏蔽看起来是通过 VPN 的连接。比如 Netflix 就在帮助中心里要求用户关闭 VPN 或代理，并解释说，VPN 可能会让你看起来像是从另一个地方连接的。
什么时候该关掉，或者说该调整设置
某个网站或你的银行拒绝连接
如果在 VPN 开着的时候，某项服务拒绝访问，或者一再要求你验证身份，请先换成位于你所在国家或地区的服务器。如果这样还不行，就在办这件事的时候暂时关掉 VPN，而且最好是在家里或者使用移动网络时，而不是在公共 Wi-Fi 上。
打印机或电视没反应了
视应用及其设置而定，发往家中设备的流量也可能被送进隧道，或者被拦截：电脑找不到打印机，手机也发现不了电视。看看你的 VPN 应用有没有针对局域网的选项。如果没有，就在打印或投屏播放视频时断开 VPN：毕竟你在家里，用的是自己的网络。
某个应用需要知道你在哪里
根据 IP 地址判断你位置的服务（比如本地天气、仅对某个国家开放的内容），看到的是 VPN 服务器的 IP 地址，通常会把你定位在这台服务器所在的地区。选一个离你近的服务器，也许就够了。至于手机的 GPS 定位，VPN 不会影响它：如果应用能读取 GPS 定位，关掉 VPN 也改变不了什么。所以遇到位置不对的情况，先弄清楚应用依据的是 IP 地址还是 GPS。
常见陷阱：忘了重新打开
你“就为了这一个网站”关掉了 VPN，结果它一直关到了第二天，连手机重新连上火车站的 Wi-Fi 时也没开着。事情一办完，不等关掉网页，就把 VPN 重新打开，并确认 VPN 图标已经重新出现。在 Android 上，如果你开启了“始终开启的 VPN”和“屏蔽未使用 VPN 的所有连接”，关掉 VPN 也会让你无法上网：请先在设置中关闭这两个选项，用完后立即重新开启。
让“一直开着”真正靠得住
要想不再依赖自己的记性，可以让两种机制相互配合：一是 VPN 能自行启动，不需要你动手；二是隧道断开时，有屏蔽功能阻止流量外流。
在 Android 上：“始终开启的 VPN”与屏蔽非 VPN 连接
从 Android 8.0 起，系统提供了两项设置，Android 开发者文档（英文）对此有介绍。打开“始终开启的 VPN”后，手机一开机，系统就会自动启动 VPN，并在设备开着的时候让它一直运行。打开“屏蔽未使用 VPN 的所有连接”后，系统会屏蔽你的应用中不经过 VPN 的流量：万一隧道断开，这些应用也不会悄悄改走普通连接。
这种取舍是有意为之的，你开启这个选项时，Android 就会提醒你：VPN 连上之前，你将完全无法上网。如果始终开启的 VPN 断开或者连接不上，系统会显示一条无法关闭的通知，直到 VPN 恢复为止。如果你自己关闭了这个选项，这条通知也会消失：之后就再也没有什么会提醒你把它重新打开了。
不过，这种屏蔽并不是绝对的：系统会让少量技术性通信绕过隧道，比如它在接入 Wi-Fi 时做的连接测试。2022 年，专业科技网站 BleepingComputer（英文）报道了这一现象，Google 承认这是设计使然。
这两个开关在手机设置的 VPN 页面里：点按你的应用名称旁边的齿轮图标（必要时，可在设置的搜索栏中输入“VPN”）。它们的名称和位置会因 Android 版本和手机厂商而异。如果开关呈灰色，并显示“此应用不支持”，说明该应用不支持始终开启的 VPN；如果手机由雇主统一管理，也可能是管理员锁定了这两个开关。
还有一种情况要注意：一些酒店或火车上的 Wi-Fi，要求先在认证页面上完成确认，VPN 才能连上。如果这个页面没有弹出来，请先关闭屏蔽选项完成认证，然后立即重新开启。
在 Windows 上：应用的终止开关
这里的屏蔽一般靠 VPN 应用的终止开关（kill switch）来完成。请确认它已经开启，并在软件的帮助文档里查一查：它在什么情况下会切断流量，又要怎样才能恢复。不过，它不会替你启动 VPN：电脑开机后，请确认连接确实已经建立。
以 FuzeVPN 为例，Windows 应用的终止开关从你发起连接的那一刻起就会生效；如果连接失败，它会一直切断流量，直到你主动选择断开连接。所以，如果电脑好像上不了网，先看看 VPN 的状态，再去怀疑路由器。
浏览器扩展即使一直开着，通常也只保护浏览器本身：你的其他应用，包括聊天和邮件软件，都不走隧道。所以，在扩展和应用之间做选择时，关键要看你想保护的只是浏览器，还是整台设备。
在 iPhone 上：一切取决于应用
系统自带的“始终打开 VPN”是为公司、学校这类组织统一管理的 iPhone 设计的，而且只支持 IKEv2 协议。根据 Apple 的文档（英文），从 iOS 27 起，它不再要求设备处于“受监督”状态。如果是个人用的 iPhone，请改到你的 VPN 应用的设置里找一找，看有没有自动连接或断线时屏蔽流量的选项。
常见问题
用移动数据上网时，也要一直开着 VPN 吗？
运营商的移动网络并不是来路不明的 Wi-Fi，CNIL（法文）恰恰建议优先使用这种网络。所以，道理和在家里一样。在 4G 或 5G 网络下一直开着 VPN，真正的好处在于：等手机切换到 Wi-Fi 时，VPN 依然开着。另外，VPN 还会多用一点流量，这部分流量和其他流量一样，都会从你的套餐里扣除。
应该优先在哪些设备上开启 VPN？
优先考虑你会带出门的设备。先从手机开始，因为正是它会不经你同意就切换网络：在 Android 上，开启“始终开启的 VPN”和“屏蔽未使用 VPN 的所有连接”，然后保持这个设置用上几天。记下真正出问题的地方，比如某个网站或打印机，再逐个解决：换个服务器，或者临时关一下 VPN，而不是把所有设置都关掉。至于笔记本电脑，请在下次出门前开启终止开关，并在每次开机后确认 VPN 已经连上。