机场和VPN区别：机场、梯子、传统 VPN 对比
机场和VPN区别，一句话回答：VPN 是“一个应用一键连接”的产品形态，机场是“订阅链接 + 客户端”的服务形态；梯子则是口语里的总称，两者都可能被叫作梯子。 它们的底层有一个共性：都是把你的流量交给第三方服务器转发，所以隐私和安全的提醒是相通的。这篇从形态、协议、分流、适用人群和安全提醒几个角度，把三个说法讲清楚。使用请遵守所在地法律法规，机场牛不提供法律意见。
一分钟速查
- 形态：VPN 多是“一个应用一键连接”，机场是“订阅链接加客户端”，前者省事，后者可控。
- 梯子是口语总称，VPN 应用和机场都可能被叫作梯子，三者是包含关系。
- 共性：流量都要经过第三方服务器，隐私和安全的提醒是相通的。
- 企业 VPN 是用来接入单位内网的，不能用机场替代。
如果你还没搞懂机场本身是什么，先读 机场是什么。
机场和VPN区别：形态、协议、分流三处不同
先上对照表：
| 对比项 | 传统 VPN 应用 | 机场（订阅 + 客户端） |
|---|---|---|
| 交付形态 | 一个应用，登录后点一下连接 | 一条订阅链接，加一个第三方客户端 |
| 服务器选择 | 厂商提供的服务器列表，常按国家或地区选 | 订阅里的节点列表，手动选或用策略组自动选 |
| 常见协议 | OpenVPN、WireGuard、IKEv2/IPsec 等，也有厂商自研的 | Shadowsocks、VLESS、Trojan、Hysteria2 等代理类协议 |
| 工作层次 | 通常通过系统的 VPN 接口，创建虚拟网卡，接管设备的大部分流量 | 客户端默认按规则转发连接，也可以开启 TUN 模式接管系统流量 |
| 分流能力 | 部分应用支持分应用或分站点，能力因产品而异 | 规则分流是常规能力，可按域名、IP、规则集细分 |
| 上手门槛 | 低，开箱即用 | 稍高，要选客户端、导入订阅 |
| 灵活度 | 较低，选项相对固定 | 较高，可以自定义规则和节点选择 |
| 价格形态 | 订阅制居多 | 套餐加流量、设备数等限制 |
三处不同，总结起来：VPN 追求省事，机场追求可控。 协议的设计思路，见 VLESS Trojan Hysteria2区别，节点、订阅、协议、线路的分工，见 机场节点是什么。
梯子和VPN：梯子是总称，VPN 与机场是两种形态
三个说法经常混着用，但范围不同：
| 说法 | 范围 | 指的是什么 |
|---|---|---|
| 梯子 | 最大 | 口语总称，泛指各类能访问海外网络的工具和服务 |
| VPN | 一类技术和产品 | 虚拟专用网络，本义是在公共网络上建立加密的专用连接 |
| 机场 | 一类服务商 | 提供代理节点订阅的服务商 |
| 科学上网 | 一个动作 | 口语里“用这类工具上网”的说法 |
VPN 的本义，是在公共网络上建立加密的专用连接，典型场景是企业员工远程访问公司内部网络。后来也出现了面向个人的 VPN 应用，用来在公共 Wi-Fi 上多一层加密，或者连接到另一个地区的服务器。这些用途本身并不神秘。
所以“梯子和VPN”不是二选一的关系：梯子是总称，VPN 应用和机场都是实现它的方式之一，自建节点是另一种，见 机场和自建节点。工具层面怎么选，见 梯子工具怎么选。
工作方式上的两个关键差异：接入层与分流
接入层。 传统 VPN 通常在系统层建立虚拟网卡，把设备的大部分流量送进隧道。机场的客户端默认以代理方式工作，按规则决定每个连接走不走节点。不过现在的客户端大多有 TUN 模式，同样是通过虚拟网卡在系统层接管流量，两者的界限已经没那么清晰。TUN 模式的设置和适用场景，见 TUN模式。
分流。 规则模式是机场客户端的拿手戏：国内常用网站直连，需要的流量走节点，日常挂着，对国内访问影响通常较小。传统 VPN 应用在全局连接下，设备的大部分流量都进隧道，国内网站有时会变慢，不过部分应用提供分应用、分站点的功能，能力因产品而异。规则怎么设，见 分流规则。
代理和 VPN 到底差在哪一层：系统代理、虚拟网卡与 TUN 模式
往深里讲一层。前面说“界限没那么清晰”，具体指的是下面这几点：
| 维度 | 代理方式（客户端默认） | 虚拟网卡方式（传统 VPN、TUN 模式） |
|---|---|---|
| 接管范围 | 以应用的连接为单位，把请求交给代理转发 | 以系统的网络包为单位，大部分流量都进入隧道 |
| 应用是否要配合 | 通常要，靠系统代理设置或应用自带的代理设置 | 通常不需要，应用无须知情 |
| 对 UDP 的支持 | 因协议和客户端而异 | 一般随虚拟网卡一并转发，实际仍受产品实现限制 |
| 域名解析（DNS） | 取决于客户端怎么配置，有可能没有走代理 | 同样取决于配置，但接管范围更大 |
| 系统权限 | 通常较低 | 创建虚拟网卡通常需要管理员权限或系统授权 |
读这张表，有三个实用的结论：
- “系统代理不生效”的根源，往往是应用没有配合。 有的程序不读取系统代理设置，直接连网，流量就绕过了客户端。遇到这种情况，开启 TUN 模式通常是办法之一，排查见 系统代理不生效，TUN 模式的设置见 TUN模式。
- 接管得越多，越要留意 DNS。 域名解析的请求有没有走代理，会影响访问结果，也和隐私有关，检查方法见 DNS泄漏检测。
- 虚拟网卡不等于传统 VPN 产品。 开了 TUN 模式的机场客户端，工作层次和 VPN 接近，但节点仍是代理类协议，流量仍按规则分流，产品形态、协议和订阅方式都和传统 VPN 应用不同。
所以别用“工作在哪一层”来判断好坏。更实用的判断依据是：你的需求是什么，服务商靠不靠谱，客户端好不好管。 技术细节因产品和版本而异，以官方说明为准。
谁更适合哪一种：一张决策表
| 你的情况 | 更合适的方式 | 说明 |
|---|---|---|
| 想偶尔用一下，不想折腾 | VPN 应用更省事 | 先看是否适合你的用途和所在地的规定，条款以官方为准 |
| 在公共 Wi-Fi 下想多一层加密 | VPN 应用或机场均可 | 前提是信得过服务商 |
| 要连公司内网 | 用公司提供的企业 VPN | 不要用机场替代 |
| 多设备、多平台，需要灵活分流 | 机场加客户端 | 规则和节点选择更灵活 |
| 想完全自己掌控服务器 | 自建节点 | 门槛和维护成本更高，见 机场和自建节点 |
| 说不清自己要什么 | 先从机场月付小套餐试起 | 用一两周，再决定要不要长期 |
选机场时的完整思路，见 机场怎么选。
小 E 的三个需求，为什么用了三种方式：一个虚构的例子
下面的人物是虚构的，只为演示“按需求配工具”的思路，不对应任何真实的服务商或真实事件。
小 E 是一名在公司做设计的上班族，生活里有三种网络需求：
- 需求一：连公司内部系统。 公司提供了企业 VPN，并规定了接入方式。小 E 没有想过用别的东西替代，因为这是单位统一管理的入口，用途是安全接入内部资源，和机场没有可比性。他也不会把公司资料经过任何第三方服务器转发。
- 需求二：出差住酒店，想在公共 Wi-Fi 上处理私人事务。 他考虑过 VPN 应用和机场，两者都能多一层加密，但他最在意的是服务商靠不靠谱：有没有明确的运营主体，隐私说明和日志政策写没写、写得清不清楚，条款以官方说明为准。他还发现，不管选哪种，流量都会经过第三方，所以他不处理特别敏感的事务。
- 需求三：平时在多台设备上查海外的设计资料。 他需要在手机、笔记本和平板之间灵活切换，还想让国内网站直连、只让需要的流量走代理。这种需求，机场加客户端的规则分流更合适。他先买了月付小套餐，用了一两周才续费。
复盘一下：小 E 没有在“VPN 和机场谁更好”上纠结，而是把三种需求分别配上了合适的工具。 公司的事用公司的方式，私人的临时需求看服务商的主体和条款，日常多设备分流用机场加客户端。对号入座之后，问题就简单了。想看选工具的完整思路，见 梯子工具怎么选，新手入门路线见 科学上网怎么入门。
安全与隐私：三种方式都要记住的 5 件事
无论叫机场还是叫 VPN，流量都要经过第三方的服务器。共性的提醒有：
- 服务商通常能看到元数据。 比如你访问的目标地址、时间、流量大小。HTTPS 网站的内容本身一般看不到，但不要因此把敏感信息的安全完全押在服务商身上。
- “用了就匿名”是误解。 它只是改变了出口，并不能让你的行为凭空消失。
- 看主体、看条款。 有没有明确的运营主体，隐私说明和日志政策写没写，写得是否清楚，以官方说明为准。
- 客户端从官方渠道下载。 来路不明的安装包是更大的风险。
- 订阅链接当密码保管。 泄露了怎么办，见 机场订阅链接安全。
使用机场的完整隐私风险与自保建议，见 机场安全。
4 个常见误区
- “机场就是 VPN，换个名字而已。” 形态、协议、分流都有差别，不能混为一谈。
- “VPN 一定比机场安全”（或者反过来）。 安全取决于服务商和使用习惯，不取决于叫什么。
- “买了就能在任何场景下用。” 可用性和服务的使用条款、所在地的规定、目标网站的限制都有关系。
- “企业 VPN 和机场是同一类东西。” 企业 VPN 用于接入内部资源，由单位管理，不能互相替代。
术语速查：比较机场和 VPN 时绕不开的几个词
把对比里反复出现的词放在一起，点进去是各自的术语页：
| 词 | 一句话 | 术语页 |
|---|---|---|
| TUN模式 | 客户端通过虚拟网卡接管系统流量，工作层次接近 VPN | TUN模式 |
| 全局模式与规则模式 | 全局是所有流量都走代理，规则是按规则决定走不走 | 全局模式与规则模式 |
| 节点 | 订阅里的一份连接配置，背后是服务商的服务器 | 节点 |
| 订阅链接 | 把节点打包交给你的网址，同时是账号凭证 | 订阅链接 |
| Shadowsocks | 机场里常见的一种老牌轻量代理协议 | Shadowsocks |
| 落地节点 | 流量最终的出口，目标网站看到的是它的 IP | 落地节点 |
记忆办法很简单：VPN 那边的词是“应用、服务器列表、一键连接”，机场这边的词是“订阅、节点、规则、客户端”。 两边词汇不同，本身就说明产品形态不同。
看完之后怎么走
弄懂机场和VPN区别之后，选择会简单很多：看你要的是省事，还是可控。
机场和VPN区别常见问题
机场就是 VPN 吗？
不是一回事。VPN 本义是虚拟专用网络，常见产品形态是一个应用一键连接。机场是提供代理节点订阅的服务商，需要配合客户端使用，协议和分流方式也不同。两者的共同点是都把流量交给第三方服务器转发，所以隐私和安全方面的提醒是相通的。
梯子和 VPN 是一回事吗？
不是。梯子是口语里的总称，泛指各种能访问海外网络的工具，VPN 应用、机场、自建服务器都可能被叫作梯子。VPN 是一类具体的技术和产品形态，机场是一类具体的服务商，梯子的范围比两者都大，三者是包含关系。
机场比传统 VPN 更安全吗？
没有这样的结论。安全程度取决于服务商本身、客户端是否来自官方渠道、协议和配置是否合理，以及你自己的使用习惯，而不是取决于叫机场还是叫 VPN。无论哪种形态，流量都要经过第三方服务器，选择时要看主体、条款和隐私说明。
公司要求用的 VPN，可以用机场代替吗？
不建议，也通常行不通。公司的企业 VPN 是用来安全接入内部网络和资源的，由公司统一管理和授权，用途和机场完全不同。应当使用公司提供的方式接入，不要自行用机场替代，更不要把公司资料经由第三方服务器转发。
开着机场客户端，国内网站会变慢吗？
规则模式下通常不会。规则模式会让国内常用网站直连，只让需要的流量走节点，日常挂着影响较小。全局模式下所有流量都走节点，国内网站可能变慢，访问某些服务还可能受限。日常用规则模式，临时排查再用全局模式。
开了 TUN 模式，机场客户端是不是就等于 VPN 了？
不完全等于。TUN 模式是客户端借助虚拟网卡在系统层接管流量，工作层次和 VPN 接近，但节点仍是代理类协议，流量仍可以按规则分流，订阅方式和产品形态也不同于传统 VPN 应用。两者只是在接管范围上变得相似。