十年前,公共 Wi-Fi 的恐怖故事都关于密码被偷 — 有人抱着笔记本从空气里读你的登录信息。HTTPS 的全面普及确实解决了其中大半。但它没解决的部分更安静:即使读不了你的流量,网络依然能了解到很多关于你的事。
这是一份 2026 年的诚实清单:公共 Wi-Fi 看得到什么、能拿这些做什么,以及如何不费脑子地把口子堵上。
网络依然看得到的东西(哪怕全程 HTTPS)
网络的运营方 — 酒店、机场承包商、咖啡馆的运营商,或者那个开了一个和咖啡馆同名热点的人 — 能观察到:
- 你访问的每一个域名。 不是页面内容,而是网站本身:你的银行、诊所的患者门户、约会应用、你母语的新闻网站。DNS 查询和 TLS 握手元数据默认就会暴露这些。
- 什么时候、用了多少。 流量的时序和体量 — 足以分辨你在开视频会议还是在刷网页,或者你凌晨三点还没睡。
- 你的设备身份。 MAC 随机化有帮助,但要你填房间号、邮箱或登机牌的强制门户,直接把流量和你本人绑在了一起。
以上不需要任何攻击者存在。这就是网络运营方的日常可见性,而在商业网络上,这些数据被例行公事地喂进分析系统。
真实威胁,诚实排序
- 运营方的元数据收集 — 在商业 Wi-Fi 上几乎必然发生。不戏剧化,但持续不断。
- 伪造热点 — 从背包里发出来的"Airport_Free_WiFi"。比安全大会上讲的少见,但在机场和会展场馆真实存在。
- 强制门户的猫腻 — 门户在你"通关"前插入页面,有时走明文 HTTP,偶尔通关后还给你注广告。
- 老式的非 HTTPS 流量拦截 — 对网页浏览基本绝迹,但仍有不少应用在后台偷懒发未加密请求。
60 秒流程
在酒店书桌前或登机口坐下时:
- 和工作人员或标识核对网络名。 差一个字母的孪生网络是经典陷阱。
- 连网并过掉强制门户。 给最少的信息 — 一次性邮箱强过你的真实邮箱。
- 打开 VPN。 过了门户,一键的事。从这一刻起,网络只能看到一条通往单一服务器的加密流:没有域名、没有分站点元数据、没有浏览模式。
- 整个行程都让它开着。 WireGuard 这类现代协议在大堂和房间之间移动时瞬间重连,没有理由来回开关。
流程就这么多。第 1–2 步对付伪造热点,第 3 步抹掉元数据层,第 4 步让防护持续。
公共 Wi-Fi 上,VPN 修不了的事
诚实环节 — 老读者知道我们爱写这个:
- VPN 拦不住钓鱼。假的订单确认邮件,隔着隧道照样好使。
- 它保护不了系统过期的设备在恶意网络上被定向利用。去装 iOS 更新。
- 它救不了公共电脑。酒店"商务中心"的 PC 不是你的朋友,开不开 VPN 都一样。
给旅行者的附注
如果你常出门,这篇和我们的旅行者指南是一对:同一个把酒店 Wi-Fi 收拾干净的 VPN,还能让你的银行应用不再在海外把你锁在门外(连回你的国家),让流媒体订阅像在家一样工作。
值得养成的习惯很无聊:连网、过门户、开 VPN、忘了它。FREE VPN FAST 免费、一键连接 — 这套 60 秒流程,没有任何理由跳过。