18 分钟
VPN 可以按四个维度分类：按用途（个人、企业远程访问、站点到站点、云端 ZTNA），按协议（从过时的 PPTP 到 VLESS 加 Reality），按连接方式（应用、扩展、路由器、自建服务器、机器人提供的密钥），以及按付费模式。2026 年在俄罗斯，普通人需要的是应用形式的个人 VPN，使用能把流量伪装成普通 HTTPS 的协议：OpenVPN、WireGuard 和 L2TP 在俄罗斯会按协议被封锁。
如果你不想研究各种设置，只想直接用上这样的方案，我们推荐 BessyConnect：它基于 VLESS 加 Reality 伪装。VPN 本身是什么、如何运作，我们在文章用大白话讲 VPN 是什么中做过解释。这里只讲分类和选择。
没有统一的官方分类，但任何 VPN 都可以用四个维度来描述：用途、协议、连接方式和付费模式。例如，BessyConnect 是基于 VLESS + Reality 的应用形式个人 VPN，提供试用期。
| 类型 | 用途 | 优点 | 缺点 | 示例 |
|---|---|---|---|---|
| 个人（消费级） | 在公共 Wi-Fi 中保护流量，打开被封锁的网站 | 几分钟就能装好，服务器遍布多个国家 | 你要把连接数据托付给服务商 | App Store 或 Google Play 中的应用 |
| 企业远程访问 | 员工在家连接办公室网络 | 可访问公司内部系统 | 只开放工作系统，通常不会改变访问网站时的国家 | Windows 内置客户端、Cisco AnyConnect |
| 站点到站点（Site-to-site） | 连接两个办公室的网络 | 持续运行，用户无需任何操作 | 由管理员在路由器上配置 | 分支机构之间的 IPsec 隧道 |
| 云端（ZTNA） | 访问公司的特定应用，而不开放整个网络 | 授权针对资源，而不是整个网络 | 需要云平台和访问策略 | 企业“零信任”平台 |
| 过时协议（PPTP、L2TP） | 兼容旧设备 | 几乎所有系统都内置 | PPTP 不安全，两者都很容易被过滤器识别 | 旧的办公服务器 |
| 经典协议（OpenVPN、WireGuard、IKEv2） | 在没有过滤的地方提供快速可靠的隧道 | 久经考验的加密，速度快 | OpenVPN 和 WireGuard 自 2023 年起在俄罗斯被封锁，IKEv2 不伪装流量 | 企业 VPN、自建服务器 |
| 带伪装的协议（VLESS + Reality、Trojan、Shadowsocks、Hysteria2） | 在封锁环境下稳定工作 | 流量看起来像普通的 HTTPS 或 HTTP/3 | 需要兼容的客户端，谁都无法保证 | BessyConnect、Xray 客户端 |
| 浏览器扩展 | 快速更换一个标签页的地址 | 不需要安装程序 | 只保护浏览器，本质上是代理 | Chrome 网上应用店中的扩展 |
| 路由器上的 VPN | 保护家里所有设备，包括电视 | 一次设置覆盖整个网络 | 需要兼容的路由器，还要花时间设置 | Keenetic、OpenWrt |
| VPS 上的自建服务器 | 完全掌控服务器 | 除了你，没人持有服务器 | 管理和应对封锁都要自己来 | 租用的 VPS 加 Xray |
按用途，VPN 分为个人 VPN、企业远程访问 VPN、网络间（站点到站点）VPN，以及基于零信任模型的云端 VPN。如果你是给自己找 VPN，你需要的是第一种。其余三种由雇主配置。
个人 VPN。 你安装应用，选择国家，流量就经过服务商的服务器。它的任务是保护连接，并让你访问在你的网络中无法访问的资源。
企业远程访问 VPN。 Microsoft 的帮助文档“VPN 连接类型”描述的正是这种场景：客户端连接到远程访问服务器，后者验证身份，并在客户端和组织的专用网络之间传输数据。它开放的是公司内部系统，而不是境外网站。
站点到站点。 隧道建立在两个办公室的路由器之间，员工根本看不到 VPN。
云端 ZTNA。 这种模型在 2020 年 8 月的标准 NIST SP 800-207《零信任架构》（Zero Trust Architecture）中有描述：不会仅仅因为设备或账户位于公司网络内就信任它们。保护的重点从网络边界转移到用户和具体资源上。
协议分为三代：过时的（PPTP、L2TP）、经典的（OpenVPN、WireGuard、IKEv2/IPsec）以及带流量伪装的（VLESS + Reality、Trojan、Shadowsocks、Hysteria2）。在 2026 年的俄罗斯，可行的仍然是第三类。
PPTP 于 1999 年 7 月在 RFC 2637 中定义。Apple 早在 iOS 10 和 macOS Sierra 中就移除了它：升级时 PPTP 连接会从描述文件中删除，公司在帮助文档中写道，不建议用它进行安全通信。2024 年 10 月，Microsoft 宣布 PPTP 和 L2TP 在未来的 Windows Server 版本中被弃用，并建议改用 SSTP 和 IKEv2。
L2TP（RFC 2661，1999 年 8 月）本身只负责建立隧道。加密由 2001 年 11 月 RFC 3193 定义的 IPsec 提供，因此有了 L2TP/IPsec 组合。
IKEv2/IPsec 在 RFC 7296（2014 年 10 月）中标准化，使用 UDP 端口 500 和 4500。MOBIKE 扩展（RFC 4555）可以在地址变化时（例如从 Wi-Fi 切换到移动网络）不断开隧道。
OpenVPN 基于标准的 SSL/TLS 建立隧道，可以通过同一个端口以 TCP 或 UDP 方式接受客户端连接。
WireGuard 通过 UDP 传输数据包，使用 ChaCha20Poly1305 和 Curve25519。协议作者在 NDSS 2017 上发表的论文中写道，其 Linux 实现不到 4000 行代码。项目的“局限性”页面明确写着：WireGuard 不负责流量伪装，伪装需要在更上层实现。
VLESS + Reality。 Xray 文档把 VLESS 描述为一种轻量、无状态的传输协议：服务器每次都会验证客户端的 UUID。VLESS 本身没有加密（encryption 字段只接受 none），保护由外层提供：TLS 或 Reality。Reality 出现在 Xray-core 1.8.0 中（2023 年 3 月 9 日）。据开发者介绍，它消除了服务器端的 TLS 指纹，并允许指定别人的真实网站，因此不需要购买自己的域名。
Trojan 会进行真正的 TLS 握手，而没有正确密码的请求会被转发到普通的 Web 服务器上。检查者看到的只是一个网站。Shadowsocks 被其创建者称为基于 SOCKS5 的安全代理。Hysteria2 基于修改过的 QUIC，伪装成 HTTP/3，专为丢包严重的网络设计。AmneziaWG 是 WireGuard 的一个分支，在握手前加入垃圾数据包，并使用随机报头。
三大主要协议在速度和抗封锁能力上的详细对比，见文章 VLESS、OpenVPN 还是 WireGuard：选哪个协议；带伪装的协议我们在 Reality、Shadowsocks 还是 Trojan 中做过分析。
系统内置客户端中的“VPN 类型”字段只提供企业协议：IKEv2、L2TP/IPsec、SSTP 和 PPTP。它们都不伪装流量。这个字段要用公司管理员提供的信息来填写，而个人 VPN 需要单独的应用。
根据官方文档，各系统提供的选项：
| 系统 | 内置类型 | 需要了解的要点 |
|---|---|---|
| Windows | “自动”、IKEv2、L2TP、PPTP、SSTP | “自动”会按从更安全到较不安全的顺序逐个尝试协议。SSTP 在 HTTPS 内部传输数据 |
| iPhone、iPad、Mac | IKEv2、基于 IPsec 的 L2TP、Cisco IPsec | PPTP 自 iOS 10 和 macOS Sierra 起已移除 |
| Android | IKEv2/IPsec：预共享密钥、RSA 证书、用户名和密码 | 平台从 API 级别 30（Android 11）起支持这类配置 |
如果你拿到的是服务器地址、IKEv2 类型和密钥，那是企业服务器的信息，就填进这个字段。个人 VPN 不需要这个字段：应用会自行创建配置，在 Apple 上通过 Network Extension，在 Microsoft 上通过 VPN 插件平台，协议可以是任何一种，包括 VLESS。
VPN 有五种提供方式：应用、浏览器扩展、路由器、自建服务器，或者 Telegram 机器人提供的密钥。方式决定了哪些程序会进入隧道，以及被封锁时由谁来修复。
按付费模式，VPN 分为免费的（服务靠广告赚钱，或者限制速度和流量）、带试用期的免费增值型、订阅型、企业型（由雇主付费）以及自建型（你只支付服务器租金）。免费密钥和破解版应用的风险显而易见：来路不明的服务器所有者能看到你的连接，而被篡改的 APK 里可能藏着任何东西。
你需要的是应用形式的个人 VPN，使用能伪装成普通流量的协议，并且由服务商自己负责更新服务器和协议。从 2023–2025 年的报道看，经典协议在俄罗斯会被 DPI 设备识别出来。
根据公开报道已知的情况：
由此得出一个实事求是的结论。带伪装的协议是当下最好的选择，但没有任何一种 VPN 能提供保证。重要的不只是协议，还有过滤规则更新时，服务商更换地址和设置的速度有多快。
只有当你愿意在每一波封锁之后亲自修复服务器时，自建服务器才有意义。
BessyConnect 是基于 VLESS 加 Reality 伪装的应用形式个人 VPN，正是我们为俄罗斯推荐的类型。在网络看来，连接就像普通的 HTTPS，协议和服务器由服务团队负责更新，而不是你。
下载应用：
俄罗斯区 App Store 中没有这款应用：在 iPhone 上安装需要其他国家或地区的 Apple ID。BessyConnect 没有 Windows 应用。
坦白说明它的边界。BessyConnect 不能替代企业 VPN，也打不开公司的工作网络。它不会让你变得匿名：网站仍然能看到你的账号和 cookies。当移动网络受白名单限制、任何隧道都到达不了境外服务器时，它也帮不上忙。最后，正如 2025 年 12 月所表明的，没有任何协议能永远不受过滤规则更新的影响。
如果你需要一款基于伪装协议、无需手动设置密钥和服务器的个人 VPN，请从下载页面安装 BessyConnect，并在试用期内测试一下。
哪种 VPN 最安全？ 从加密角度看，现代的 IKEv2/IPsec、OpenVPN、WireGuard 以及 VLESS 加 Reality 都是可靠的，而 PPTP 则不被 Apple 推荐用于安全通信，早在 iOS 10 中就已被移除。在俄罗斯，更重要的是另一点：隧道是否容易被过滤器发现，在这方面伪装成 HTTPS 的协议领先。
VPN 类型和协议有什么区别？ 协议是隧道的技术：WireGuard、IKEv2、VLESS。类型是一个更宽泛的概念：用途（个人还是企业）、连接方式（应用、路由器、扩展）和付费模式。同一种协议可以出现在不同类型中。
2026 年还能用 PPTP 吗？ 只能用于兼容旧设备，而且不要用于任何重要的事情。Apple 已从 iOS 10 和 macOS Sierra 中移除了 PPTP，Microsoft 也在 2024 年 10 月宣布 PPTP 和 L2TP 在未来的 Windows Server 版本中被弃用。
手机该选哪种 VPN？ 选择官方应用商店中的个人 VPN 应用：它保护手机的全部流量，而不仅仅是浏览器。在俄罗斯，请选择使用伪装协议（例如 VLESS 加 Reality）的服务，而不是裸用 WireGuard 或 OpenVPN 的服务。
BessyConnect 属于哪种 VPN？ 基于 VLESS 加 Reality 伪装协议的应用形式个人 VPN，超过 100 台服务器，不记录日志，无需注册。有 iPhone、iPad、Mac、Apple TV、Android 和 Android TV 应用，没有 Windows 版。
咖啡馆、机场、酒店的公共网络为何危险？本文讲清公共wifi安全的真正风险：假热点、流量嗅探与会话劫持，以及 BessyConnect VPN（VLESS+Reality 协议）如何在开放 Wi-Fi 中加密全部流量、保护你的隐私与账号。 更多
关于 bessyconnect 日志的坦诚说明：任何 VPN 服务在技术上能看到什么，其中哪些数据我们存、哪些明确不存，访问日志一律不留。本文还给出五种不靠服务商一面之词、普通用户就能自行核实的具体方法，看完再决定信不信。 更多
信息窃取程序如何绕过双因素认证？本文讲清被盗的会话 cookie 为何比密码更危险、窃取程序通过哪些途径进入电脑、中毒后会出现什么迹象，以及为什么必须先彻底清理机器再修改所有密码——顺序反了等于白改。文末附完整自查清单。 更多
