先看规范
协议的行为来自公开的规范和文档，而不是厂商的宣传文案。
不编造证据
凡是我们没有核实过的速度数据、评分、审计结论或服务器数量，都不会发布。缺口就直说，不去填补。
厂商的说法会被标注出来
如果某个事实只来自服务商自己的文档，我们会明确标注来源并注明日期。
VPN 连接实际是如何工作的
每一家 VPN 都会从你的设备到你选定的服务器建立一条加密隧道，再从那里转发你的流量。产品之间的差别在于：用哪种协议建立这条隧道、用哪种加密算法保护它，以及出故障时会发生什么。
按你的实际情况选择协议
很多被归咎于 VPN 的连接问题，其实是协议不匹配。基于 UDP 的协议通常最快，但有些网络会完全封锁 UDP；走 443 端口的 TCP 传输能穿过大多数网络，代价是损失一些速度；而 IKEv2/IPsec 正是为手机切换网络而设计的那一个。
WireGuard
最快，仅支持 UDP，使用固定的现代加密套件。
- 传输方式
- 仅 UDP
- 密码学
- ChaCha20-Poly1305、Curve25519、BLAKE2s — 一套固定、无需协商的组合
- 适合场景
- 日常使用、流媒体、游戏，以及在意耗电的移动场景
OpenVPN
可灵活配置、能穿过严格防火墙的备选方案。
- 传输方式
- UDP
- 基于 TCP
- TCP，通常是 443 端口
- 密码学
- 控制通道用 TLS；数据通道用 AES-GCM 或 ChaCha20-Poly1305
- 适合场景
- 路由器支持广泛、比较均衡的默认选择
IKEv2/IPsec
能在 Wi-Fi 与移动网络之间切换时保持连接。
- 传输方式
- UDP 500 与 4500
- 密码学
- IKEv2 负责密钥交换，数据通道走 ESP，通常使用 AES-GCM
- 适合场景
- 在 Wi-Fi 与移动网络之间来回切换的手机
完整的组合 — 传输方式、加密套件与各自的取舍并排列出 — 见VPN 协议对比。
我们的首选推荐
我们在本站用 ZoogVPN 作为贯穿全文的实例，因为在这里评测的五家服务商中，它公开的协议组合覆盖了最广的网络环境：两个 UDP 选项、一个 TCP 备选、一个移动性协议，以及两种面向受限网络的自有传输方式。正是这种覆盖面让它适合用来讲解技术，这也是我们把它排在第一位的原因。
ZoogVPN 公开的协议清单，于 2026 年 9 月 21 日从其帮助中心获取。
| 协议 | 支持平台（据 ZoogVPN） | ZoogVPN 声明的适用场景 |
|---|---|---|
| WireGuard | Windows、macOS、iOS、Android、Linux、路由器 | 速度，以及流媒体、游戏这类当下的用途 |
| IKEv2/IPsec | Windows、macOS、iOS、Android、Linux | 移动用户，以及在切换网络时保持连接 |
| OpenVPN (UDP) | Windows、macOS、iOS、Android、Linux、路由器 | 速度与安全兼顾；适合种子下载和流媒体 |
| OpenVPN (TCP) | Windows、macOS、iOS、Android、Linux、路由器 | 在有防火墙的环境里也能保持稳定连接 |
| Shadow | Windows、macOS、iOS、Android | 在限制严格的地区绕过审查 |
| ZoogTLS | 仅 Windows | 在伊朗这类被严格过滤的网络中访问受限内容 |
省 82%覆盖 Windows、macOS、iOS、Android、Linux 与路由器的六种协议，四个主要消费级平台都列出了终止开关支持。
2 年套餐
联盟链接 — 我们可能获得佣金，你无需为此额外付费。请参阅联盟披露。所示价格为 VPN Sherlock 发布时的数据；购买前请在结算页确认当前条款。
完整细节，包括我们无法核实的部分，见ZoogVPN 评测。
我们涵盖的服务商
完全按照 VPN Sherlock 发布时的商业条款列出。没有速度或评分列，因为我们没有做过能支撑这些数据的测试。
| # | VPN | 适合场景 | 主要特性 | 协议 | 设备数 | 价格 | 了解更多 |
|---|---|---|---|---|---|---|---|
| 1 | | 综合最佳 | 公开的协议有六种 — 是这里对比的五家中覆盖面最广的 | 6（含 Shadow、ZoogTLS） | 不限 | $2.49/月 | 查看优惠阅读评测 |
| 2 |  Proton VPN | 混淆说明最清楚 | 这里唯一公开说明自身混淆协议构造的服务商 | 3（含 Stealth） | 10 | $4.99/月 | 查看优惠阅读评测 |
| 3 |  PureVPN | 支持设备最多 | 提供 Apple TV 与 Fire Stick 原生应用，省去了通常需要配置路由器的理由 | 3（WireGuard、OpenVPN、IKEv2） | 10 | $3.24/月 | 查看优惠阅读评测 |
| 4 |  | 混淆选项最多 | 两种自有传输方式，其中一种可在路由器上使用。没有 IKEv2 | 4（含 OpenWeb、StealthVPN） | 5 | $5.00/月 | 查看优惠阅读评测 |
| 5 |  Windscribe | 最灵活 | 三种协议都能生成手动配置文件，还有可以先行试用的免费套餐 | 3（OpenVPN、IKEv2、WireGuard） | 不限 | $3.00/月 | 查看优惠阅读评测 |
从这里开始
协议对比
WireGuard 对比 OpenVPN：速度与防火墙
WireGuard 与 OpenVPN 在代码规模、加密协商、UDP 与 TCP 传输以及漫游行为上的各项差异，还有在限制较严的网络中该选哪一个。
阅读指南技术指南
VPN 加密：算法、密钥与前向保密
AES-256-GCM、ChaCha20-Poly1305 和 Curve25519 在隧道内部各自承担什么工作、前向保密为何重要，以及加密本身又防不住哪些问题。
阅读指南实用工具
如何测试 VPN：泄漏与终止开关检查
一套可重复的十五分钟检查流程：IP 与 DNS 泄漏、IPv6 与 WebRTC、终止开关的各种故障场景，以及如何如实记录每一次结果。
阅读指南