VPN 官網總是標榜「AES-256 軍規加密」，但這是什麼意思？比較好嗎？開了 VPN，所有流量真的都有加密嗎？
先講結論：AES-256 和 ChaCha20 都是公認安全的加密方式，一般人不用糾結選哪一個。真正要看的是協定有沒有用對、VPN 斷線時會不會漏出去，以及你有沒有開分割通道。
VPN 加密是什麼？
加密就是把資料變成看不懂的亂碼，只有持有金鑰的一方才能還原。
開 VPN 時，你的裝置和 VPN 伺服器之間會建立加密通道。網路業者或公共 Wi-Fi 上的人，就算攔到封包，也看不懂裡面的內容。
要注意，加密保護的是「你到 VPN 伺服器」這一段。從 VPN 伺服器連到網站那一段，要靠網站本身的 HTTPS：
VPN 加密怎麼運作？
每次連線大致分成三步：
- 握手：裝置和伺服器先確認對方身分，再用非對稱加密（公開金鑰）協商出一把這次連線專用的金鑰。
- 傳資料：之後的流量都用這把金鑰加密。AES-256、ChaCha20 就是用在這一步，它們屬於對稱加密，速度快，適合處理大量資料。
- 換金鑰：連線期間會定期換新金鑰。WireGuard 每隔幾分鐘換一次，OpenVPN 軟體預設每小時換一次。
定期換金鑰帶來的好處叫「完全前向保密」（Perfect Forward Secrecy）。就算某把金鑰日後外洩，也解不開用其他金鑰加密的流量。
官網規格表上的名詞怎麼看？
VPN 官網常列出一串演算法名稱，像 WireGuard 官方就是這樣寫：
圖片來源：WireGuard 官方網站
這些名詞各管不同的事，不是列得越多越安全。看懂下面幾類就夠了：
| 規格上的名詞 | 負責什麼 | 白話說明 |
|---|---|---|
| AES-256、ChaCha20、AEGIS-256X2 | 加密實際傳輸的資料 | 最常被拿來宣傳的就是這一類 |
| GCM、Poly1305 | 驗證資料有沒有被改過 | 防止別人在途中竄改內容 |
| RSA-4096、DH、Curve25519 | 握手時協商金鑰 | 讓雙方在不被別人知道的情況下算出同一把金鑰 |
| ML-KEM | 抗量子的金鑰協商 | 防止流量被存下來，等量子電腦成熟再解密 |
| SHA-384、BLAKE2s | 雜湊，產生資料的數位指紋 | 用在驗證和計算金鑰 |
AES-256 和 ChaCha20 差在哪？
這是目前 VPN 最常見的兩種加密方式。兩者都用 256 位元金鑰，都被認為夠安全，主要差在速度和用在哪裡。
| 比較 | AES-256 | ChaCha20 |
|---|---|---|
| 常見用在 | OpenVPN、IKEv2（常見 AES-256-GCM） | WireGuard（搭配 Poly1305） |
| 來源 | 美國 NIST 制定的標準 | IETF 的 RFC 8439 標準 |
| 速度 | 有 AES 硬體加速的裝置很快 | 沒有硬體加速的裝置比較快 |
| 可以自己換嗎 | OpenVPN 可以設定 | WireGuard 不能，協定已固定 |
| 怎麼選 | 不用選，跟著協定走 | 不用選，跟著協定走 |
AES 後面的數字是金鑰長度，有 128、192、256 位元，數字越大，要猜中金鑰就越困難。
ChaCha20 是另一種設計的加密演算法。WireGuard 固定用它，好處是不會被設定成不安全的舊演算法。
速度差異要看裝置。依 RFC 8439 的說法，在沒有 AES 硬體加速的平台上，ChaCha20 大約快 3 倍。它也是 AES 萬一被發現弱點時的備援選擇。
多數裝置都有 AES 硬體加速，所以 ExpressVPN 的 Lightway 多半預設用 AES-256-GCM，只有低階路由器或入門手機才可能改用 ChaCha20。
「軍規加密」是什麼意思？
這是行銷用語，通常指 AES-256。它沒有特定的「軍用版本」，你可以把它理解成業界常見的高強度加密。
這個說法也不是憑空來的。美國國家安全局（NSA）的 CNSA 2.0 規定，國家安全系統在所有機密等級都要用 256 位元金鑰的 AES。
不過 AES 是公開標準，不是軍方專用。很多 VPN 的預設協定是 WireGuard 或它的改版，跑的是 ChaCha20，也不是 AES。
看到這四個字不用太興奮，幾乎所有主流 VPN 都有類似的等級。更值得比的是協定、稽核和實際表現。
協定和加密是什麼關係？
協定決定 VPN 怎麼建立連線、用哪種加密方式傳資料。常見的協定有：
- WireGuard：現代、速度快，加密固定是 ChaCha20。NordVPN 的 NordLynx 也是以它為基礎。可以閱讀 WireGuard 是什麼。
- OpenVPN：歷史長、相容性好，常用 AES-256-GCM。可以參考 OpenVPN 是什麼。
- IKEv2：網路中斷或切換時恢復得快，適合常在 Wi-Fi 和行動網路之間切換的手機。
- Lightway：ExpressVPN 自家協定，多半用 AES-256-GCM，低階裝置可能用 ChaCha20。
- Dausos：Surfshark 自家協定，用 AEGIS-256X2，官方目前只開放 macOS 版。
- NordWhisper、Stealth：NordVPN 和 Proton VPN 給會擋 VPN 的網路用的協定，重點是把流量偽裝起來。
一般人用 App 裡的「自動」就可以。遇到連線被擋，再換協定試試。
各家 VPN 用哪種加密？
Surfshark 官網把協定和加密的對應寫得很清楚：
圖片來源：Surfshark 官方網站
下面是四家官方公布的對應。寫「未標示」的，是官方頁面沒有寫出具體演算法。
| VPN | WireGuard 類 | OpenVPN、IKEv2 | 自家協定 | 抗量子 |
|---|---|---|---|---|
| NordVPN | NordLynx：ChaCha20 | OpenVPN：AES-256-GCM | NordWhisper：未標示 | NordLynx，Mac 版有開關 |
| Surfshark | WireGuard：ChaCha20 | 兩者都是 AES-256 | Dausos：AEGIS-256X2 | WireGuard、Dausos 預設支援 |
| ExpressVPN | WireGuard：ChaCha20 | OpenVPN：未標示 | Lightway：AES-256-GCM 或 ChaCha20 | Lightway、WireGuard |
| Proton VPN | WireGuard：ChaCha20 | 兩者都是 AES-256 | Stealth：以 WireGuard 為基礎 | 官方列為規畫中 |
怎麼看自己的 App 用哪個協定？
各家 App 的名稱不太一樣。這三張是 Mac 版畫面，手機版的位置可能不同：
- NordVPN：到「設定」的「一般資訊」，找「VPN 通訊協定」。同一頁的「後量子」開關只適用於 NordLynx：
- Surfshark：在 VPN 設定找「通訊協定」。選「自動」時會顯示目前用哪一個：
- ExpressVPN：在「VPN Protocol」頁選擇，Lightway 的說明也標示了抗量子支援：
想知道每個協定用什麼加密，對照上面的表格就好。沒有特殊需求的話，留在「自動」即可。
開 VPN 後，所有流量都有加密嗎？
大部分情況是，但有幾個例外要注意。
分割通道
開了分割通道，被排除的 App 就不走 VPN，也不會經過這條加密通道。公共 Wi-Fi 上要特別留意，詳細可以閱讀分割通道是什麼。
各家名稱不一定一樣，像 Surfshark 叫 Bypasser。檢查一下清單，空的才代表沒有排除任何網站或 App：
VPN 斷線的瞬間
VPN 如果突然斷線，又沒有開 Kill Switch，流量可能直接從原本的網路出去。設定方式可以參考 Kill Switch 是什麼。
不少 VPN 的 Kill Switch 預設是關的，裝好後先確認一次。
開了也要看清楚範圍。NordVPN Mac 版的應用程式 Kill Switch 是斷線時關掉你指定的 App，所以要記得把 App 加進清單：
DNS 或 IP 洩漏
惡意 Wi-Fi 把流量導出通道
2024 年公開的 TunnelVision（CVE-2024-3661）不用破解加密。攻擊者控制你連的區域網路後，可以用 DHCP 的設定改你裝置的路由，讓流量繞過 VPN 通道。
這時 App 仍顯示已連線，研究人員測試時 Kill Switch 也沒有觸發。Windows、macOS、iOS、Linux 都受影響，Android 因為不支援這項 DHCP 設定（option 121）不受影響。
這招要對方在同一個網路上。如果要處理重要資料，不要連來路不明的 Wi-Fi，改用手機熱點再開 VPN。網站的 HTTPS 也還是能保護內容。
iPhone 的部分系統流量
iPhone 上有些連線可能不走 VPN。2023 年有 VPN 業者回報，iOS 16 之後，Apple 地圖、推播通知這類連到 Apple 伺服器的流量，可能繞過通道。
更新 VPN App 時，iOS 也會先關掉舊的通道。2025 年有 VPN 業者說明，這段時間的流量等於沒有走 VPN。
這是 iOS 的系統行為，所以不要把 iPhone 上的 VPN 當成完全封閉的通道。一般瀏覽和 App 的流量還是會走加密通道。
瀏覽器外掛、Proxy 和 Smart DNS
這幾種常被當成 VPN，但加密範圍比較小，或根本沒有加密：
- 瀏覽器外掛：只處理瀏覽器的流量，其他 App 不受保護。
- SOCKS5 Proxy：只換 IP，本身不加密，和 VPN 的差別可以閱讀 SOCKS5 是什麼？。
- Smart DNS：只改 DNS 查詢，方便看串流，流量沒有加密。
離開 VPN 伺服器之後
VPN 伺服器連到網站時，加密要靠網站的 HTTPS。如果網站沒有 HTTPS，這段內容就是明碼傳送。
VPN 伺服器會解開通道，所以 VPN 業者技術上看得到你連到哪裡。這也是挑 VPN 時要看不留紀錄和第三方稽核的原因。
不走網路的東西
電話、簡訊不經過 VPN，也沒有被 VPN 加密。
有 HTTPS 了，還需要 VPN 加密嗎？
看你在意什麼。HTTPS 已經能保護網站內容，多數網站也都有了。
但 HTTPS 不會藏你的 IP，網路業者通常也看得到你連到哪個網域。DNS 查詢和連線開頭的 SNI 欄位都會露出網域名稱。
新的 ECH（Encrypted Client Hello）技術可以藏住 SNI，但要瀏覽器和網站都支援，目前還不普及。
開 VPN 後，網路業者看到的變成你連到一台 VPN 伺服器、連線時間和流量大小，看不到你去了哪些網站。如果你在意這些，VPN 就能多一層。
不過加密藏的是內容，不是「你在用 VPN」這件事。多數協定有可辨識的流量特徵，WireGuard 官方也說明它不把混淆當目標，所以會擋 VPN 的網路要改用 NordWhisper、Stealth 這類協定。
如果只是怕公共 Wi-Fi，開 VPN 仍是簡單的做法，可以閱讀公共 Wi-Fi 安全嗎。
量子電腦會破解 VPN 加密嗎？
短期內不用擔心 AES 被量子電腦破解。NIST 的說法是，Grover 演算法對攻擊 AES 的幫助很可能不大，128、192、256 位元都可以繼續用。
比較需要提防的是握手時的金鑰交換，RSA、Curve25519 這類演算法未來有被量子電腦破解的風險。有人可能現在先把加密流量存起來，等以後再解密，這叫「先存後解」。
所以 NIST 在 2024 年 8 月公布了 FIPS 203（ML-KEM），VPN 業者陸續把這類演算法加進握手流程。
ExpressVPN 的 Lightway、WireGuard，以及 Surfshark 的 WireGuard、Dausos 都已支援。NordVPN Mac 版在設定裡有「後量子」開關，只適用於 NordLynx；Proton VPN 的 2026 年路線圖還列為規畫中。
一般人不用為了這點換 VPN。如果你傳的資料要保密很多年，再優先選有抗量子的協定。
買 VPN 時，加密要怎麼看？
不用背名詞，看這幾點就好：
- 有沒有 WireGuard 或 OpenVPN：有其一就夠了。
- 有沒有 Kill Switch：這通常比加密方式的細微差異更重要。
- 有沒有第三方稽核：可以參考 VPN 不留紀錄是真的嗎。
- 官網有沒有寫清楚用什麼加密：連協定和演算法都不講的 VPN，要多留意。
- 避開 PPTP：這是舊協定，加密已有漏洞。微軟 2024 年也宣布淘汰 PPTP 和 L2TP。
有加密也可能做錯。2025 年一篇研究分析了 Google Play 上三個 VPN App 家族，下載量合計超過 7 億，其中部分 App 把 Shadowsocks 連線密碼寫死在 App 裡。被點名的包括 Google Play 下載超過 5 億次的 Turbo VPN，可以參考另一篇 Turbo VPN 評價。
這代表攻擊者攔到流量後，可以用這組密碼解密。所以看到「有加密」還不夠，還要看是誰做的、有沒有第三方稽核。
主流付費 VPN 這些條件都有，例如 NordVPN 和 Surfshark。更多比較可以閱讀 VPN 推薦。
VPN 也不是萬能，加密只保護傳輸過程，不會讓你在網站上變匿名，這在 VPN 真的匿名嗎有說明。
常見問題
AES-256 會被破解嗎？
NIST 目前仍讓 128、192、256 位元的 AES 繼續使用，沒有要求更換。一般人更該注意的風險，是設定錯誤、裝置中毒或密碼被盜。
AES-128 夠安全嗎？
夠。NIST 認為 AES-128 未來數十年都還會是安全的。AES-256 的安全餘裕更大，但不代表 AES-128 不安全。
ChaCha20 比 AES-256 差嗎？
不是。它們是不同的設計，都被認為夠強。WireGuard 使用 ChaCha20 是協定的固定選擇。
AES-256-GCM 和 AES-256-CBC 差在哪？
GCM 同時負責加密和驗證資料有沒有被改過；CBC 只負責加密，要另外搭配 HMAC 驗證。
OpenVPN 2.6 的預設清單是 AES-256-GCM、AES-128-GCM 和 ChaCha20-Poly1305，沒有 CBC。有得選就選 GCM。
VPN 加密會讓網路變慢嗎？
會有一點影響，加上繞去 VPN 伺服器，速度和延遲都會變。可以參考 VPN 會增加延遲嗎。
可以自己選加密方式嗎？
看 App。主流 VPN 大多只讓你選協定，不用自己選演算法。手動設定 OpenVPN 時，才比較會碰到加密方式的選項。
怎麼確認 VPN 真的有加密？
先看 App 顯示已連線和目前的協定，再用 IP、DNS 檢查工具確認顯示的是 VPN 那端。
想看封包的話，可以用 Wireshark 抓包。正常情況下只會看到你和 VPN 伺服器之間的連線，內容都是亂碼。
免費 VPN 也有加密嗎？
多半有，但要看是誰提供、會不會留紀錄。加密不代表它值得信任，可以閱讀 VPN 安全嗎。
手機開 VPN 也一樣加密嗎？
一樣。只要連線中，App 的網路流量會走加密通道。簡訊和一般電話除外，iPhone 的部分系統服務也可能不走通道。