# 选择流量路径：服务器、隧道或代理 | SwissOctet 洞察 https://swissoctet.com/zh/insights/choose-a-server-tunnel-or-proxy/ SwissOctet / 洞察 / 网络工程 网络工程 基础 · 4 分钟阅读 选择流量路径：服务器、隧道或代理 了解 VPS、VPN 和代理各自改变了什么，然后根据你实际需要的连接选择路由、协议和运营责任。 作者 SwissOctet 编辑部 保存指南 复制链接 本页内容 01 画出你想要改变的连接 02 隧道保护旅程中的特定路段 03 代理具有更窄且可配置的范围 04 根据端点和策略选择协议 05 自托管将工作转移给你 06 在选择方案之前验证整个路径 您的实用清单 来源与延伸阅读 返回资料库 直接答案 VPS 提供机器；VPN 提供配置好的隧道；代理中继选定的流量。将角色与需求匹配，并验证路由、信任和故障行为，而不是将这些标签视为隐私保证。 01 画出你想要改变的连接 VPS 是你可以用来运行软件的机器。VPN 在参与的端点之间创建受保护的网络路径。代理代表客户端或服务处理流量。这些角色可以共存：VPS 可以托管 VPN 或代理，但购买服务器并不会配置其中任何一个。从客户端、目标系统和中间系统的简单示意图开始。 如果需求是发布网站，你需要托管环境和应用。如果需求是私有访问管理网络，隧道可能是设计的一部分。如果一个应用必须通过受控中介连接，代理可能适合。按角色选择可以避免你期望托管产品自动改变设备的流量。 02 隧道保护旅程中的特定路段 VPN 在其配置的隧道内加密流量；路由决定哪些流量进入该隧道。全隧道配置和拆分隧道配置具有不同的效果。审查 DNS 处理、IPv6 路由以及隧道不可用时的行为。在实际客户端上测试这些路径，而不是假设安装屏幕就能证明所有流量都遵循预期路由。 隧道端点成为信任模型的一部分。流量离开后，其保护取决于下一跳连接和应用协议，包括使用时的 HTTPS。VPN 不会消除网站账户、浏览器标识符或你提交的信息。它也不能纠正被入侵的设备。将访问控制和端点运营者与协议一起评估，并将关于匿名的声明与经过验证的路由结果分开。 03 代理具有更窄且可配置的范围 正向代理接收客户端连接，并根据其配置发起后续连接。HTTP 和 SOCKS 代理提供不同的接口，应用必须支持或配置为使用所选接口。代理本身并不加密来自设备的每个连接。到代理的连接和后续连接必须分别评估。 反向代理位于服务前面，接收来自其用户的请求。它可以路由到内部应用进程并处理公共 HTTP 设置。这是面向运营者的架构决策，而不是客户端 VPN 的替代品。避免创建未经身份验证的开放代理：仅允许合法工作流所需的用户和目标，并监控故障而不保留不必要的浏览数据。 组件 主要角色 它不能确立什么 VPS 运行操作系统和应用 为你的设备配置的隧道 VPN 隧道 在对等方之间承载选定的网络流量 在目标处提供匿名身份 正向代理 中继受支持的客户端流量 保护每个设备连接 反向代理 代表应用接收请求 应用正确性或无限攻击容量 04 根据端点和策略选择协议 WireGuard 使用 UDP 和一种已定义的加密设计，并采用公钥对等配置。OpenVPN 文档中记录的部署选项包括路由隧道、证书以及 TCP 或 UDP 传输。IPsec 描述的是 IP 层的保护，通常与 IKE 等密钥管理系统一起出现。这些是技术系列，具有不同的部署选择，并非通用的速度排名。 检查客户端支持、密钥轮换、用户如何被移除，以及对等节点之间的网络允许什么。站点到站点链路的设计可能与员工设备的远程访问不同。使用具有代表性的端点和允许的流量测试可达性和吞吐量。将协议和条件与结果一起记录。在一种环境中更快的结果并不能证明同一协议在所有地方都是最佳选择。 05 自托管将工作转移给你 在自己的服务器上运行隧道意味着你要负责更新、密钥、防火墙规则和可用性。限制管理界面，保护配置备份，并决定丢失设备后如何撤销其访问权限。单台服务器会形成明确的依赖：如果它停止工作，它提供的路由也会停止工作。在将其作为唯一管理路径依赖之前，先规划恢复方案。 编写一份你实际能够执行的日志策略。保留少量日志可以减少存储的信息，但也可能限制事件调查。不要因为存在 VPN 协议或服务器位置就推断出无日志政策。在不记录超出必要用户活动的前提下监控服务健康状况。将凭据和私钥保存在公共应用程序目录和生成的配置示例之外。 06 在选择方案之前验证整个路径 测试 DNS 解析、经批准的测试目的地看到的公网地址，以及对应当保持私有的资源的访问。断开隧道并确认预期的回退行为。在用户将使用的设备和网络上重复测试。对于代理，测试一个使用它的应用程序和一个不使用它的应用程序，以便其作用范围清晰可见。 Shield 是 SwissOctet VPN 服务系列；Vector 或专用范围是你自行管理的软件的独立托管选择。在订购前阅读其列出的选项并确认所需能力。根据预期流量、并发会话和实测端点资源选择容量。正确的路由是其范围、权限和故障行为与项目匹配，并且你准备好承担相应责任的那一个。 将其转化为行动 您的实用清单。 ✓ 绘制客户端、中间节点和目的地。 ✓ 决定哪些流量进入隧道或代理。 ✓ 检查 DNS、IPv6 和断开连接后的行为。 ✓ 根据支持和策略要求选择协议。 ✓ 规划密钥撤销、更新和端点恢复。 下载清单 常见问题 重要细节。 我可以在 VPS 上运行 VPN 吗？ + 可以，前提是运行环境支持你选择的软件和网络要求。你仍需负责其配置、维护和密钥。 代理会加密所有流量吗？ + 不会。保护取决于每个连接的协议和配置。其范围之外的应用程序可能直接连接。 哪种 VPN 协议总是最快？ + 没有通用结果。客户端硬件、传输方式、路径和配置都很重要。测量预期部署，并同时考虑支持和访问策略。 主要参考资料 前往来源。 这些参考资料支持本指南中的技术概念。在更改生产系统之前，请遵循当前文档。 WireGuard：协议与密码学 www.wireguard.com OpenVPN：社区部署指南 openvpn.net RFC 4301：互联网协议安全架构 www.rfc-editor.org NGINX：HTTP 代理模块 nginx.org 由 SwissOctet 提供编辑指导。示例仅作说明。服务规格、可用选项和合同条件必须单独核实。 连接知识 相关基础设施。 Shield VPN 瑞士 Vector VPS 瑞士 Metal Origin 瑞士 保持联系 您的下一份现场笔记。 探索所有指南 现场笔记 / 01 + 网络工程 基础 带宽、端口速度和传输：阅读完整图景 估算项目传输的数据量，并理解为什么更大的端口只是网络性能的一部分。 4 分钟阅读 阅读指南 现场笔记 / 02 + 第二天运营 应用 托管项目的实用威胁模型 映射资产和信任边界，选择几个现实的故障场景，并将其转化为可测试的控制措施。 6 分钟阅读 阅读指南 现场笔记 / 03 + 第二天运营 应用 安全进行 Windows RDP 管理而不丢失访问权限 分离网络可达性、身份验证和权限，然后在收紧远程访问之前验证恢复路径。 6 分钟阅读 阅读指南