ringcross

声明：本狼也是这方面的菜鸟，只做抛砖引玉，坐等各位技术流原地科普。 

       我们以某网站的手机登录页面为例。这个页面是没有提供HTTPS访问的，用户名密码在传输中始终都是明文传输。那么如果通过VPN，用VPN连接作为网关访问，可以保证密码的加密吗？

    假设访问用户在北京，ISP是北京联通；假设京东的服务器在电信，ISP是杭州电信。如果没有VPN，那么数据都是不加密的，用红色表示：



    如果用VPN，只有到VPN服务器的数据加密。从VPN到京东的流量还是明文的：



      在使用VPN的情况下，在PC抓包，是加密的VPN数据；但是在VPN服务器抓包，还是可以看到明文的密码。从VPN服务器到京东服务器的路由中的所有节点，都可以获得用户密码的。所以说用VPN只是部分路径加密了的，不能确保数据的安全。

    用SSH隧道加密的情况也类似，不能保证全部路径上都是加密的 

————————割线——————以下为微博中各位技术流对VPN安全性探讨的原文

  @:VPN不管怎么加密，总要把数据包还原成客户端的数据再发到目标服务器，所以在VPN服务器上是能抓包的，也就是你的网站密码还有别的密码是能给抓下来的

   @: 国内已经发生过很多类似事件 只是木有引起注意！免费VPN 很危险，自己的VPN才靠谱

   @: 不管什么系统，最终数据包都要还原成客户机子上的数据发送到目标机子上，而在解包的服务器上是可以抓包的，就算不能抓包，在网络驱动层必须会有这要发送的没加密的数据，必定是能获取的 

  @: 你的机子->(加密)->VPN->(解密后的)->访问目标机子 就算你的机子和VPN之间怎么加密，在最终发给目标机子都会还原成没加密的

   PS:复制这麽多没有吓唬各位的意思，也并没有怀疑某些好心的大大分享自己搭建的VPN的意图，只是想让各位了解有这么一回事，万事有利必有弊，总结一句，只要你使用VPN的情况下不进行你各种的个人登录，抓也是白抓，需要登录的话那就请谨慎使用VPN，尤其是号称免费的VPN。

caocunt

没有https的登录都用一个马甲ID作为常用的呗~

client

哎，各种不安全啊，除非购买国外服务器自己搭建vpn