公共 WiFi 防护：从探测到自动升级的完整路径

家庭网络里，路由器与光猫之间的信任来自物理控制：只有你能碰它们。公共网络没有这个前提——同一网段里可能有几十台陌生设备，网关可能是临时搭建的，DNS 可能在你不察觉时被改写。这类环境里，被动嗅探只是最低级的威胁，更常见的是主动劫持。

三类主要威胁

• 被动嗅探 同一广播域内的设备捕获明文流量，对未加密的 HTTP、部分推送通道有效。
• 主动劫持 伪造同名热点或篡改 DNS，把请求导向自建服务器，再用伪造证书尝试中间人。
• 强制门户 合法但侵入性强：所有请求被重定向到登录页，期间明文与凭据可能被一并收集。
• 旁路监听 在网关或出口做流量镜像，用于分析而非阻断，用户侧没有任何可感知的异常。

这四类威胁的共同点是：用户侧缺少可观察的信号。因此防护的第一步不是加密，而是把不可观察的环境变成可观察的——先探测，再决定防护档位。

快喵VPN 的风险要素来自三类可观测信号：TLS 握手阶段的证书信息、解析阶段的 DNS 响应差异、链路层的网关特征。三类信号都不需要解密任何正文，采集本身不引入新的隐私暴露。

为什么不做全端口扫描

探测端口越多，越容易被网络侧的安全设备判定为扫描行为，进而触发断网或告警。快喵只探测 80 与 8080 两个端口，且只发起一次轻量请求，超时 400 毫秒即放弃。这个取舍意味着部分威胁面不会被发现，但换来的是不被误判为攻击源。

• 最小探测 仅两个端口、单次请求、400 毫秒超时，不做并发扫描。
• 不落结果 探测结果只用于本次判定，不写入本地日志之外的任何位置。
• 可关闭 设置中可关闭主动探测，关闭后仅依赖被动信号（证书与网关指纹）。
• 频率限制 同一网络下 24 小时内最多探测 3 次，避免反复扰动。

快喵把风险分为 L1 至 L4 四档，每档对应一组明确的动作。动作只收紧、不放松：进入 L3 后不会因为探测结果转好而自动回到 L1，必须满足回退条件（连续 3 次未命中且稳定 10 分钟）。kill switch 一旦触发则只能手动解除。

等级判定还有一个工程约束：动作必须彼此正交，否则组合起来会出现意料之外的状态。例如 L2 的追踪域名过滤与 L3 的强制断流同时生效时，过滤规则会被断流覆盖；实现上因此把动作组织成有序集合，后一级继承前一级并覆盖冲突项，而不是简单叠加。

升级耗时的实测分布

从探测命中到动作生效的中位耗时为 1.4 秒，P95 为 3.1 秒。耗时主要由隧道重协商构成，DNS 切换本身只需 80 至 120 毫秒。用户感知最强的是 L3 触发时的断流，实测最长中断 4.2 秒，期间不产生任何明文出站。

多数校园网要求先通过门户认证（学号或访客码）才能出网，部分还部署了客户端准入检测。快喵不接管认证流程，而是在认证完成后再建立隧道——顺序反了会导致认证请求被隧道带走，登录页始终打不开。

还有一类情况值得单独说明：部分校园网会针对加密流量做限速或识别，表现是隧道建立后速度明显低于直连。快喵不通过伪装流量来绕过这类策略，而是在诊断页明确提示“该网络可能限制了隧道流量”，由用户决定是否继续使用。绕过网络管理策略既不稳定，也容易让用户账号承担风险，这个选择权应交回用户。

校园网的三个处理要点

• 认证先行 检测到门户重定向时暂停自动连接，待认证完成后由用户手动或自动恢复。
• 准入放行 隧道建立后仍放行准入检测所需的本地请求，避免被判定为异常设备。
• 分流域名 校园内部系统走直连，只有校外流量进隧道，减少不必要的绕行。
• IPv6 处理 部分校园网 IPv6 优先，隧道对 IPv6 做同样封装，不因协议差异被旁路。

还有一个常被忽略的问题：校园网常在夜间限速或断网维护。快喵在检测到连续 5 分钟无法建立隧道时不会反复重试，而是退避到 15 分钟一次，避免在维护窗口内产生大量失败连接记录（这些记录会进入聚合健康度统计，属于运营数据）。

强制门户的技术实现是把所有 HTTP 请求重定向到登录页，HTTPS 请求则直接阻断或返回错误。用户为了能上网，往往会习惯性点击“继续访问”——这个习惯正是中间人攻击最需要的配合。快喵的做法是把门户识别为 L2 而非 L3：判定为重定向但无证书异常时，只收紧 DNS 与过滤，不强制断流。

酒店网络的另一处细节是会话有效期：多数门户在 8 至 24 小时后要求重新认证，期间隧道会被动中断。快喵在检测到连续 3 次出网失败时会暂停自动重连并给出提示，避免在认证有效期结束时形成密集的失败重试记录。用户重新完成门户认证后，客户端会自动恢复，不需要重新输入账号。

看到证书告警时该怎么做

如果浏览器在酒店网络下提示证书错误，说明链路上有设备在替换证书。正确做法是停止在该网络下登录任何账号，关闭自动连接后改用蜂窝网络完成操作；不要点击“继续访问”，也不要为通过提示而安装任何根证书。快喵客户端在检测到此类情况时会直接中断并给出提示，不提供绕过选项。

• 不要继续 证书告警意味着无法确认对端身份，继续访问等于放弃校验。
• 不要装根证书 任何要求安装根证书才能上网的场景都应视为高风险。
• 换网络 切换到蜂窝网络或可信网络完成敏感操作，再回来处理网络问题。
• 留证据 记录提示文字与时间，便于后续向网络提供方反馈。

DNS 泄漏的检测方法是同时向隧道内解析器与本地解析器查询同一域名，若两者结果不同即判定为泄漏。快喵在 L1 及以上即把解析移入隧道，并在客户端状态面板显示当前解析器归属，用户可以随时确认解析是否还在隧道内。

kill switch 的三种实现与差异

常见实现有三种：防火墙规则、路由表黑洞与进程内拦截。前两者在系统层面生效，进程退出后仍有效；第三种随进程退出失效，看起来像开关但实际是纸糊的。快喵同时使用防火墙规则与路由表黑洞，两者互为兜底，因此在客户端崩溃时明文出站仍被阻断。

• 防火墙规则 在系统防火墙层拒绝非隧道网卡的出站，进程退出后规则保留。
• 路由表黑洞 把默认路由指向不可达地址，作为防火墙规则失效时的兜底。
• 不做进程内拦截 进程内拦截无法覆盖崩溃场景，只作为提示层使用，不作为保护手段。
• 解除需手动 解除 kill switch 必须由用户显式点击，不存在超时自动解除。

IPv6 是被忽略的泄漏点

在只处理 IPv4 的实现里，IPv6 流量会绕过隧道直接出网——设备同时具备两种地址时，系统会优先选择 IPv6 路径。快喵的做法是把 IPv6 与 IPv4 同等封装，并在接管失败时直接禁用 IPv6 出站而不是静默放行。这一项在 2026 年 9 月的测试中覆盖了 6 种运营商组合，其中 4 种默认启用了 IPv6。

误判的典型来源已在表 1 列出：企业自建 CA 的内网、就近解析的 CDN、合法的强制门户。快喵给每条规则设置了豁免条件，例如检测到企业域名的内网证书且来源可信时降级为提示而不升级防护。用户也可以在诊断页查看每次判定的要素明细，并手动把某个网络标记为可信。

误判处理里最容易被忽略的是时间维度：同一个 SSID 在早高峰与深夜可能对应不同的网关设备，因为部分场所会按时段切换出口。快喵把判定结果与会话绑定而不是与 SSID 绑定，因此在同一网络的不同时段得到不同等级属于预期行为，不应视为判定不稳定。

用户可调与不可调的分界

把“严格度只能调高”写进界面会带来一些用户抱怨，但它避免了最常见的一种失败：用户为了消除提示而一路调到最低，然后在真正需要防护时毫无保护。快喵选择承担前一种抱怨。

• 默认严格度 中等：L1 与 L2 自动执行，L3 需确认。
• 严格模式 L3 与 L4 均自动执行，适合经常接入陌生网络的用户。
• 兼容模式 仅执行 L1，适合内网有自建 CA 的办公环境，需手动开启。
• 事件摘要 任何模式下都可导出，用于申诉或自查。

术语表

强制门户

把全部请求重定向到登录页的网络设施，常见于酒店、机场与校园网。

同名热点

与已知网络使用相同 SSID 但网关指纹不同的接入点，是伪造热点的常见形式。

DNS 泄漏

解析请求绕过隧道走本地解析器的现象，会使访问目标对本地网络可见。

kill switch

断线时阻断全部明文出站的保护机制，触发后只能手动解除。

网关指纹

由网关 MAC、TLS 特征与响应时延构成的组合特征，用于识别网络是否被替换。

退避重试

连续失败后拉长重试间隔的策略，避免在维护窗口内反复失败。

可信网络标记

用户手动标记的 SSID，命中误判规则时降级为提示。

要素严重度

单项风险要素对整体判定的权重，分低、中、高三档。

阈值速查

接入陌生网络的自查顺序

1. 先看状态打开客户端状态面板，确认解析器归属是否为隧道内。
2. 再验断流临时关闭 Wi-Fi 再打开，确认断线瞬间没有明文出站。
3. 核对提示出现证书告警时停止操作，不点击继续访问，记录提示内容。
4. 留存记录如判定异常，导出事件摘要，包含要素、时间戳与动作三要素。