翻墙软件和 VPN 到底什么关系

这一讲专门给两个常被混用的词摆正位置。翻墙软件和 VPN 的关系，一句话说：翻墙软件是装在你设备上的那一端，VPN 是这一端可能用到的一种技术。有的翻墙软件用的就是 VPN 协议，更多的用的是另一类叫代理协议的技术；反过来，也有不少 VPN 根本不是拿来翻墙的。两个词常被混用，是因为它们出现在同一条链上，只是位置不同。

把一次「打开境外网站」的过程从头到尾拆开，每个词站在哪儿就一目了然。

翻墙是什么意思：一件要做到的事，不是一样东西

「翻墙」说的是访问在国内无法直接打开的境外网站这件事。它是一个目的，就像「出远门」，本身不指任何具体的工具。「墙」是个比喻，指的不是某一台设备，而是一整套识别、干扰跨境连接的做法；这套做法在变，翻墙用的技术也就一代一代跟着换，这也是名词越来越多的原因。

要做到这件事，至少需要三样东西配合：

• 你这一侧，有个程序把要访问境外网站的流量接过来；
• 境外那一侧，有台服务器替你把流量送到目标网站；
• 两侧之间，用一种对方认得、路上又不容易被拦下的方式通信。

这三样分别对应着翻墙软件、机场或 VPN 公司的服务器、协议。日常聊天里的几个名词，都能在这三样里找到位置。

一次连接，拆成四个环节

按流量走的顺序排，一次翻墙经过这四个环节：

举个例子：你在手机上打开一个境外视频网站。手机上的客户端先接住这个请求，这是本地一端；它用 VLESS 协议把请求加密，这是通信方式；加密后的数据送到香港的一台节点，这是远端；节点替你访问视频网站，再把画面原路送回来。整个过程里，「翻墙」是你想做的事，其余三格各管一段。

对照这张表再看「翻墙软件和 VPN」，就发现两者是不同环节上的东西：翻墙软件在本地这一端，VPN 是通信方式那一格里的一类协议。说「用 VPN 翻墙」，其实是在用通信方式这一格的名字指代整件事，口语里这样说没问题，只是一到细节就容易对不上。

VPN 在这条链里的位置：通信方式之一

通信方式这一格有两大类。

一类是 VPN 协议，IPsec、OpenVPN、WireGuard 都属于这一类。它们的做法是在两端之间建一条隧道，把整台设备的数据包原样装进去，对端拆开后再放出去。设计初衷是让公司员工安全地连回内网，抗干扰不是它们的重点，握手时的特征比较明显。

另一类是代理协议，Shadowsocks、VLESS、Trojan、Hysteria2 都在这一类。它们不搬整个数据包，而是一条连接一条连接地转交：客户端告诉服务器「替这条连接去访问某某网站」，服务器照办，再把结果传回来。这一类从一开始就为跨境访问设计，尽量让流量看上去像普通的网页访问或者毫无规律的数据。

两类放在一起，差别大致是这样：

原理上具体差在哪，VPN 原理那一讲画了路线讲。

划重点：VPN 是通信方式那一格里的一类协议，不是翻墙的全部；翻墙软件守在本地一端，两者不在同一个位置上。

翻墙软件和 VPN 的关系，分三种情况

落到具体软件上，关系有三种：

1. 翻墙软件本身就是 VPN 客户端。海外商业 VPN 的 App 属于这一种，用的是 OpenVPN、WireGuard 或改过的同类协议。
2. 翻墙软件是代理客户端，但借了系统的 VPN 接口。Clash 系、v2rayN、sing-box 系这些客户端用的是代理协议，可在手机上、或在电脑开启 TUN 模式时，它们要接管整台设备的流量，就得向系统申请建立一个 VPN 连接，于是状态栏出现了 VPN 图标。协议不是 VPN，外表却像 VPN，两个词被混着叫，主要就是这个缘故。虚拟网卡怎么接管流量，见 TUN 模式那一讲。
3. 翻墙软件既不是 VPN，也不借 VPN 接口。浏览器插件就是这样，只在浏览器内部转发请求。

反过来看，VPN 也不全是翻墙软件。单位、学校发的远程接入客户端也叫 VPN，作用是进内网，跟翻墙毫无关系，VPN 是什么意思里把这两类分开讲了。所以两者是交叉关系：有重叠的部分，但谁也不包含谁。

梯子是什么，机场是什么意思

把这两个词也放进四个环节里：

• 梯子是口语，翻墙要借梯子，叫法就这么来了。它指的是让你「翻过去」的那一整套，可能指软件，可能指订阅，也可能两样都指。有人说「梯子坏了」，要追问一句是软件打不开还是节点连不上，梯子这个词本身不区分。
• **机场**在远端那一格，是卖节点的商家。一个流行的说法是，早年 Shadowsocks 的 Windows 客户端图标是一架纸飞机，提供服务器的地方于是被叫成了「机场」。付钱以后你拿到手的是一条订阅链接，链接里列着几十台服务器；本地那一端的软件，需要你自己另装。

区分了环节，很多问题就有了方向。「VPN 和机场是一回事吗」，其实是在拿通信方式那一格的名字和远端那一格的商家比，VPN 和机场的区别按连接方式、拿到手的东西、运营方三处讲了它们的不同。

关系理清以后，按两端分开挑

既然本地和远端是两样东西，挑的时候也分开挑：

• 本地一端：按系统装一个能读订阅的客户端，选内核新一点的版本，就能支持 VLESS、Hysteria2 这些新协议。
• 远端一端：挑一家机场，看协议、线路和付款方式。

一翻云属于只管远端的一类，客户端由你自己挑。它是 2026 年 4 月开的新机场，节点用 VLESS 协议，跨境段是 IEPL 专线；入门的轻享版每月 ¥20、150GB，季付 ¥55、半年 ¥98，码 1FLYYUN 对新注册账号打 9 折。飞猫云则是两端一起给：官网说明带自家客户端，订阅由客服开通；星耀版 ¥25/月给 150GB，只想按年付的话，学生版是 ¥84/年、每月 50GB；新注册的账号填 flycat888 能打 8 折，前提是买季付或更长的周期。

按环节想问题，出状况时也好查：本地这一端的毛病，多是客户端没开、系统代理被别的软件改掉；通信方式这一格的毛病，多是客户端内核太旧、不认订阅里的新协议；远端的毛病，多是节点失效、套餐到期或流量用完。先判断落在哪一环，再去对应的地方找原因，比一上来就换机场省事得多。

两端出自一家省心，两端分开挑灵活。哪种都行，关键是出了问题时，知道该先查本地还是先问远端。