訂閱連結為什麼等同於密碼
主流代理協定的認證欄位就那幾個。Shadowsocks 用加密方式加密碼,Trojan 用密碼搭配 TLS,VMess 與 VLESS 用 UUID,Hysteria2 與 TUIC 走 QUIC,認證靠密碼或 UUID 加密碼。這些欄位最後都會被寫進一條節點連結裡,誰拿到連結,誰就拿到欄位。
訂閱連結把這件事再推進一步:它是一個帶長 token 的位址,用戶端請求後會回傳 Base64 編碼的節點清單,或是一份 Clash / Mihomo 用的 YAML 設定。整個過程不需要輸入帳號密碼,連結本身就是通行證。這也是為什麼它一旦外流,改密碼並不能阻止對方繼續連線。
訂閱連結等同憑證。貼到群組裡、發進截圖、交給第三方轉換站點,效果與把密碼交出去相同;差別在於密碼可以改,連結要主動重置才會失效。
| 憑證類型 | 外流後對方能做什麼 | 讓憑證失效的方式 |
|---|---|---|
| 帳號密碼 | 登入使用者面板,查看訂單與用量,重新拉取訂閱 | 修改面板密碼 |
| 訂閱連結 | 用任何用戶端拉取全部節點,流量計入同一份方案 | 在面板重置訂閱 |
| 單一節點連結 | 只佔用一個節點,同樣消耗方案流量 | 重置訂閱後一併作廢 |
| 用戶端設定檔 | 含全部節點與分流規則,可匯入任何裝置 | 重置訂閱並重新匯入 |
本服務同時在線不限裝置數。這項設計對便利性有利,對安全則意味著另一件事:訂閱連結被他人使用時,不會出現「裝置數超限」的提示,也就不會被動曝光。發現異常只能靠用量記錄與主動更換。月訂閱 ¥9.9 含 60GB 起,流量包 ¥158 / 300GB 起,連結外流的代價直接換算成流量。
註冊環節:哪些資訊不該填
VPNZM 註冊只要使用者名稱加密碼,無需電子郵件地址。少一個欄位就少一處外流面:電子郵件若在其他服務發生外流,攻擊者會拿它去試其他站點,順帶試出你的 VPN 帳號。使用者名稱與密碼這兩項,填法比填什麼更關鍵。
- ✅ 使用者名稱用與本名、常用社群 ID 無關的一串字元,避免被反查到具體的人。
- ✅ 密碼交給密碼管理器產生,長度 16 位以上,不與電子郵件、雲端硬碟、支付帳戶重複使用。
- ✅ 付款走站內的支付寶 / 微信 / USDT 通道,訂單與帳號綁定,不按陌生人給的地址轉帳。
- ❌ 不在暱稱、備註裡填真實姓名、公司名稱、常住城市。
- ❌ 不用生日、姓名拼音、常用英文名當使用者名稱或密碼的一部分。
- ❌ 不把訂閱連結存進聊天收藏、公開的雲端筆記連結、瀏覽器書籤同步。
訂閱連結的保管與更換
保管的目標只有一個:讓連結只出現在用戶端裡。做到這點不需要複雜工具,三個習慣就夠——不分享、不截圖、不經過第三方站點。換裝置時重新從面板複製,不要從聊天記錄裡翻舊的。
- 在使用者面板重置訂閱,舊連結立即作廢。
- 回到用戶端,刪除舊設定而不是停用,再匯入新連結。
- 逐台裝置重新匯入,連不上的那台正好是一次清點。
- 對照方案的用量記錄觀察幾天,異常增加代表舊連結曾被使用。
更換頻率依風險而定:連結只在自有裝置匯入過,半年一次足夠;經歷過群組分享、截圖外傳、第三方轉換、裝置遺失,立刻重置一次。
第三方「訂閱轉換」「線上測速」「節點檢測」頁面需要你把訂閱連結貼進表單。連結離開本機之後是否被留存,你無法確認。需要換格式時,用本機用戶端內建的解析,或在自己的機器上跑轉換。
結論:連結外流與密碼外流是兩件事。改密碼解決後者,重置訂閱解決前者;只做一件,另一條通道仍然開著。
公共 Wi-Fi 下的真實風險
公共 Wi-Fi 的風險不在加密演算法被攻破,而在連線建立前後那幾分鐘:偽造同名熱點、走 HTTP 的強制入口頁、被劫持的 DNS 解析。這三件事都不需要高深手段,靠的是你順手點了「連線」。
| 情境 | 會發生什麼 | 因應方式 |
|---|---|---|
| 偽造熱點(同名 SSID) | 連上的是對方的裝置,流量先經過它 | 關閉自動連線,手動確認熱點名稱 |
| 強制入口頁 | 頁面走 HTTP,可能被替換成仿冒表單 | 不在入口頁填帳號密碼,連上後再開用戶端 |
| DNS 劫持 | 網域被解析到仿冒站點 | 用戶端開 TUN 模式,接管網域名稱解析 |
| 同網段嗅探 | 鄰居可掃描你裝置上的開放埠與服務 | 系統防火牆保持開啟,關閉檔案分享 |
DNS 外流值得單獨說明。即使流量已經走代理,系統若仍向本機網路請求網域名稱解析,存取了哪些站點依舊會暴露給 Wi-Fi 提供者,也可能被回傳偽造位址。判斷方法很直接:連上之後開啟站內的 IP 查詢頁,看出口位址與地區是否與所選線路一致;再在用戶端裡看 DNS 查詢是否走同一出口。不一致就切到 TUN 模式,讓用戶端接管 53 埠。
HTTPS 依然有效。憑證驗證通過的站點,同網段裝置讀不到內容;真正要避開的是忽略憑證警告、在 HTTP 頁面上輸入帳號密碼。瀏覽器跳出憑證錯誤時,先斷開這個網路再排查。
裝置遺失後的處理順序
順序的關鍵是先斷通道、再斷入口。連結是通道,帳號是入口。裝置遺失時兩者都要做;只是連結外流時,做第一步就夠。
- 重置訂閱連結。舊連結立即作廢,遺失裝置上的用戶端即使設定還在也連不上。
- 修改面板密碼。用另一台可信裝置登入,改完再看一遍訂單與用量。
- 清點用量。對照方案的流量記錄,看有沒有在你沒有使用的時段出現用量增加。
- 其餘裝置重新匯入新連結,順手把不再使用的舊裝置設定刪掉。
- 觀察一週。異常停止代表處置到位;仍有連線,代表外流點不只一處。
結論:先重置訂閱,再改密碼。反過來做,連結仍然可用的那段時間就是空窗期。
用戶端差異與日常習慣
各平台用戶端在「設定存在哪」上不一樣,這決定了共用裝置時的外流面。
- Windows:設定多為明文檔案,放在使用者目錄下,同機器的其他帳戶可能讀得到。
- macOS:用戶端以網路擴充方式執行,首次安裝需要系統授權,設定同樣落在本機。
- Android:透過 VpnService 建立通道,支援依應用程式分流,設定存在應用程式私有目錄。
- iOS:走 NetworkExtension,設定隨應用程式沙盒,刪除應用程式會一併清掉。
- Linux:多為命令列用戶端,設定檔權限建議設為僅本人可讀。
分流規則決定哪些流量走代理。規則順序寫錯,內網位址或支付網域也會被送出去;排查連線問題時,先看規則命中順序,再看 DNS 是否被接管。各系統的匯入步驟在 快速上手 裡分開寫,匯入失敗時先確認訂閱格式與用戶端是否相符。
日常三條:不在公共或借來的裝置上匯入訂閱;不把設定目錄同步到雲端硬碟;換裝置時先重置再匯入,而不是兩台裝置長期共用同一個連結。