机场和梯子是什么？与 VPN、代理客户端的区别详解

机场、梯子、VPN 与代理的区别：先看结论

这几个词经常被混着用，但它们并不处在同一个层面上：

• 梯子：口语里的泛称，不是技术名词，可能指下面任何一种东西。
• 机场：一种服务形态，服务商提供多个代理节点，用户通过订阅链接获取。
• VPN：一类网络技术，通常在网络层建立加密隧道，可以接管整台设备的 IP 流量，也可以只接管一部分。
• 代理：另一类网络技术，替应用把连接转发到目标服务器，HTTP CONNECT 和 SOCKS5 是两种有公开标准的做法。
• 代理客户端：装在你设备上的软件，负责导入订阅、管理节点，并按规则决定哪些连接走代理。

一句话概括：机场回答的是“买到了什么”，VPN 和代理回答的是“数据怎么传”，客户端回答的是“在你这一端由谁来执行”。下面逐一展开。

梯子是什么：网络工具的口语统称

“梯子”是中文网络中流行的比喻，泛指用来访问受限网络资源的工具。有人说“换个梯子”，实际指的可能是换一个 VPN 应用、换一家机场，也可能只是在客户端里换了一个节点。这个词不对应任何协议或标准，所以讨论价格、速度或安全性之前，先弄清对方指的是哪一类工具。

各国家和地区对这类工具的规定不同，服务商和网站也有各自的使用条款，使用前请了解并遵守所在地法律法规和相关服务条款。

机场是什么：多节点代理订阅服务

“机场”是对多节点代理订阅服务的俗称：服务商在不同地区部署一批代理服务器，用户购买套餐后得到一个订阅链接，把链接导入代理客户端，就能看到全部可用节点。

机场套餐通常按流量和时长计费，例如“每月 100 GB、按月重置”。月付、季付、年付和流量包怎样换算比较，见机场月付、年付与流量包对比。

机场节点包含哪些信息

一个节点就是一台可以连接的代理服务器。客户端要连上它，至少需要知道：

• 服务器地址和端口；
• 使用的代理协议；
• 认证所需的密码、密钥或用户标识；
• 部分协议还需要加密方式、传输方式等额外参数。

节点名称里的地区标注（例如“香港 01”）由服务商自行填写，本质上是一个标签，不能单凭节点名称判断服务器所在地或线路质量。

订阅链接的作用与安全保管

订阅链接是一个网址。客户端访问它后会下载一份节点列表，之后还可以定期重新拉取，这样服务商增减或调整节点时，用户不必手动修改配置。

订阅格式目前没有 IETF 这类标准组织制定的统一规范，通常由各客户端项目自行约定，所以同一个链接在不同客户端里可能需要选择不同的格式。订阅链接里一般带有与账号绑定的凭据，拿到链接的人都能导入并消耗你的流量，不要把它发到公开场合或截图分享。

VPN 是什么：在网络层建立加密隧道

VPN（虚拟专用网络）的典型用途，是让分散的网络或在外的设备通过公共互联网安全地连在一起。下面介绍的 IPsec 和 WireGuard 都工作在网络层（IP 层）：设备发出的 IP 包先被加密，再封装进另一个 IP 包或 UDP 包，送到隧道另一端后解开。对上层应用来说，这个过程几乎是透明的，不需要逐个应用去设置。另有在数据链路层（第 2 层）建立隧道的 VPN 方案。

IPsec 的传输模式与隧道模式

RFC 4301 定义了 IPsec 的安全架构，目标是为 IPv4 和 IPv6 流量提供基于密码学的安全服务，包括访问控制、无连接完整性、数据来源认证、重放检测、保密性（加密）等。它区分两种模式：

• 传输模式主要保护 IP 包承载的上层协议（例如 TCP、UDP），通常用于两台主机之间的端到端保护；
• 隧道模式把整个原始 IP 包封装起来，外面再加一个新的 IP 头：外层头写明 IPsec 处理的起点和终点，内层头保留数据包原本的来源和目的地。

RFC 4301 还规定，只要安全关联的任意一端是安全网关（实现了 IPsec 的中间系统，例如启用了 IPsec 的路由器或防火墙），原则上就必须使用隧道模式；发往网关本身的管理流量等少数情况例外。企业在分支机构与总部的网关之间建立 IPsec 隧道，把两边的网络连起来，就属于这种情况。

WireGuard 的虚拟网卡与路由表

WireGuard 白皮书把它描述为一种运行在第 3 层的安全网络隧道，以虚拟网卡（例如 wg0）的形式出现，数据包加密后封装在 UDP 中传输。白皮书提出的“加密密钥路由”（cryptokey routing）把每个对端的公钥与一组允许的 IP 地址对应起来：从 wg0 发出的包按目标地址查表，决定用哪个对端的会话加密；收到的包解密后，源地址必须落在该对端允许的范围内，否则直接丢弃。

需要区分的是，哪些流量会进入 wg0，由系统路由表决定；加密密钥路由决定的是进入 wg0 之后交给哪个对端。两者合起来，决定了 VPN 覆盖多大范围：

第一种配置对应白皮书“基本用法”一节用 ip route 添加 10.0.0.0/8 路由的例子，第二种对应白皮书中“把全部流量路由给另一个对端”的例子。可见，VPN 不一定接管整台设备，覆盖范围最终取决于路由配置。

代理是什么：替应用转发连接

代理的思路不同。它不接管设备的 IP 层，而是由应用（或操作系统）明确告诉代理“我要连接哪个地址的哪个端口”，代理再替它建立连接并转发数据。只有设置了代理的应用才会经过它。

HTTP CONNECT 隧道

RFC 9110 第 9.3.6 节定义的 CONNECT 方法，用来向代理请求建立一条隧道。请求目标只写主机名和端口，中间用冒号分隔，例如：

CONNECT example.com:443 HTTP/1.1
Host: example.com:443

代理返回 2xx 响应后，这条连接就切换为隧道，此后代理只在两个方向上原样转发数据，直到隧道关闭。通过 HTTP 代理访问 HTTPS 网站时，浏览器就是先发出这样的请求，再在隧道里与网站完成 TLS 握手。

SOCKS5 协议与加密问题

RFC 1928 定义的 SOCKS5 把自己定位为应用层与传输层之间的一层“垫片”。客户端连上 SOCKS 服务器（惯例端口为 TCP 1080），与服务器协商好认证方法（也可以是无需认证）并完成相应认证后，发送的请求包括：

• 命令：CONNECT（建立 TCP 连接）、BIND（接受对方发起的连接）或 UDP ASSOCIATE（建立 UDP 转发）；
• 目标地址：可以是 IPv4 或 IPv6 地址，也可以直接是域名；
• 目标端口。

RFC 1928 还明确说明，SOCKS 不提供网络层网关服务，例如不转发 ICMP 消息。

至于加密，RFC 1928 只规定：如果协商出的认证方法包含用于完整性或保密性的封装，后续请求要按该方法封装。没有选用这类方法时，SOCKS5 本身不会给客户端到服务器这一段加密，数据是否受保护，取决于应用自己有没有使用 TLS 等加密。HTTP 代理也类似，如果客户端和代理之间是普通 TCP 连接，CONNECT 请求本身就是明文。因此在不可信的网络上使用代理时，要确认客户端到节点这一段是否加密。

代理客户端的作用：订阅、选节点与分流

代理客户端是运行在本地的软件，它把机场提供的节点变成本机可以使用的代理。常见的工作流程是：

1. 导入订阅：粘贴订阅链接，客户端下载并解析节点列表，之后可以手动或定时更新。
2. 选择节点：手动选择，或者让客户端按延迟测试结果自动挑选。
3. 提供本地入口：在本机开放一个 HTTP 或 SOCKS5 代理端口，应用把连接交给这个端口；部分客户端还能创建虚拟网卡，像 VPN 一样接管系统流量。
4. 按规则分流：逐条匹配规则，决定每个连接是直连、走某个节点，还是直接拒绝。

下面是一组分流规则示例，具体写法因客户端而异：

常见做法是自上而下匹配、命中第一条就停止，所以越具体的规则越要放在前面。规则语法和匹配顺序以所用客户端的文档为准。

机场、梯子、VPN、代理与客户端对照表

使用机场或 VPN 时的隐私：运营方能看到什么

无论用 VPN 还是代理，你的流量都要经过对方的服务器，选择服务商，本质上是把一部分信任交给运营方。

运营方通常能看到的信息

• 你的真实 IP 地址，以及每次连接的时间和时长；
• 流量大小，按流量计费本身就需要统计这一项；
• 你访问的目标：代理必须知道目标主机和端口才能转发，也就是 CONNECT 请求里的主机名、SOCKS5 请求里的地址或域名；VPN 能看到隧道内 IP 包的目标地址，如果未加密的 DNS 查询也经过它，还能看到你查询的域名；
• 未加密的内容：如果网站只使用 HTTP，传输内容对运营方来说就是明文。

HTTPS 仍然保护哪些内容

访问 HTTPS 网站时，TLS 在你的设备和网站服务器之间建立端到端的安全通道。TLS 1.3 最初由 RFC 8446 定义，现已被 RFC 9846 取代，版本号仍是 TLS 1.3。两份文档都以认证、保密性和完整性为目标，并说明 ServerHello 之后的握手消息全部加密。因此，在证书验证正常的前提下，代理或 VPN 运营方通常知道你连接了哪个网站，却看不到具体页面路径、页面内容、提交的表单、密码和 Cookie；数据如果在途中被篡改，也会被检测出来。

TLS 也有边界。RFC 8446 写明 TLS 不隐藏所传输数据的长度（端点可以用填充在一定程度上掩盖），流量的时间和大小特征仍然可见。此外，这层保护建立在证书验证之上：如果某个客户端或服务要求你安装它提供的根证书，就相当于允许它为任意网站签发你的设备会信任的证书，从而可以解密和改写 HTTPS 流量。来源和用途不明的根证书一律不要安装。

选择机场前的隐私检查项

• 隐私政策是否写明记录哪些日志、保存多久、在什么情况下提供给第三方。“不记录日志”这类承诺难以从外部核实，判断思路见如何核实机场宣传与评测。
• 客户端是否从官方渠道获取，不安装来源不明的修改版。
• 服务条款对使用用途、设备数量和退款的规定。

本站机场条目怎样标注官网资料、编辑分析和测试数据，见评测方法中的资料来源分级。

下一步：怎样挑选机场套餐

弄清概念之后，挑选机场可以按这个顺序阅读：先看机场套餐怎么选估算自己的流量和预算，再用付款周期对比换算月付、年付和流量包的真实价格；想了解延迟、带宽、丢包等测速指标，请读机场测速指标说明。