一、為什麼還要懂 OpenVPN

現在主流是 WireGuard，但 OpenVPN 沒有消失，而且在兩種情況下你還是會遇到它：

1. 受限網路：OpenVPN 可以走 TCP，在只放行特定埠的網路裡有時是唯一連得上的選項。
2. 公司或學校的 VPN：很多單位的內部 VPN 仍然發 .ovpn 設定檔給員工或學生匯入。

OpenVPN 官方社群 How-To 是一份公開文件，它開宗明義說明自己的定位：OpenVPN 是一個功能完整的 SSL VPN，使用業界標準的 SSL/TLS 協定，在 OSI 第二層或第三層做安全的網路延伸，支援以憑證、智慧卡、或帳號密碼為基礎的彈性用戶端驗證。

同一份文件也提醒讀者：它假設你已經懂基本網路概念（IP、DNS、子網路遮罩、路由、防火牆規則）。所以一般人直接讀會吃力——以下只挑出對消費者真正有用的四件事。

二、第一件事：OpenVPN 不是「瀏覽器外掛」

官方文件裡有一句話是專門用來破除誤解的：OpenVPN 不是網頁應用程式代理，也不透過瀏覽器運作。

這解釋了一個常見的困惑：為什麼 VPN 要裝一個系統層級的程式、要你給權限。因為它接管的是整台裝置的網路路徑，而不是某一個瀏覽器分頁。

順帶一提，這也是判斷「我裝的到底是 VPN 還是代理」的方法之一。只在瀏覽器裡裝了一個擴充功能的，通常是代理（proxy），保護範圍只有那個瀏覽器。

三、第二件事：憑證是什麼，為什麼要有兩份

OpenVPN 的典型架構會涉及一個自己的憑證頒發機構（CA），由它替伺服器和每一個用戶端各自簽發憑證與金鑰。

白話比喻：CA 像是一個發證機關。伺服器有一張它發的身分證，你也有一張。連線時雙方互相驗證對方的身分證是不是同一個發證機關發的、有沒有被撤銷。

這樣做的好處是可以撤銷單一使用者。官方 How-To 有專門一節在講「撤銷憑證」——公司要停掉某個離職員工的 VPN 權限時，不必換掉全公司的設定，只要撤銷那一張。

四、第三件事：那句「中間人攻擊」警告在講什麼

官方 How-To 的目錄裡有一個特別加了「重要提醒」的項目，標題大意是：如果用戶端沒有驗證所連伺服器的憑證，可能遭受中間人攻擊。

這是整份文件裡對一般使用者最重要的一句。

白話：加密只保證「你和對方之間沒有人看得懂內容」。但如果你沒有確認對方是誰，那你可能是在跟一個冒充的伺服器安全地講話——內容對真正的攻擊者是完全公開的，因為他就是你連上的那一端。

這件事落到你身上的樣子是：當你從某個來路不明的地方拿到一個 .ovpn 設定檔，匯入之後連上去，你其實無從得知另一端是誰。免費 VPN 設定檔在網路論壇上流傳，就是這個風險的典型場景。

五、第四件事：匯入別人給的設定檔前，檢查三個地方

.ovpn 是純文字檔，用任何文字編輯器都能打開。就算你不懂全部，也可以看這三處：

一、remote 那一行 它寫的是你會連到哪個主機和哪個埠。這是最基本的一件事：你至少要認得那個網域是誰的。如果是你付錢的那家業者的網域，合理；如果是一串你沒看過的 IP，要打問號。

二、有沒有憑證驗證相關的設定 OpenVPN 有一些用來確認伺服器身分的設定（例如驗證伺服器憑證用途的選項）。一個把伺服器驗證相關保護整個拿掉的設定檔，等於把上一節那個警告的防線拆了。不確定的時候，跟發給你設定檔的單位確認，而不是自己找教學把警告關掉。

三、redirect-gateway 之類的全流量導向設定 官方 How-To 有一節專門講「把用戶端所有流量（包含網頁流量）都導向 VPN」。有這行，代表你整台裝置的流量都會走過去；沒有，代表只有特定網段走 VPN（常見於公司內網用途）。

知道自己屬於哪一種很重要：如果你以為裝了公司 VPN 就順便保護了個人上網，但設定檔其實只導向公司內網，那你的保護根本沒生效；反過來，如果是全流量導向，那你所有個人流量都會經過公司的網路設備。

六、一句總結

.ovpn 檔是一份合約：它決定了你連到誰、要不要確認對方身分、以及你多少流量交出去。

你不需要看懂每一行，但至少要看懂「連到誰」和「導多少流量過去」這兩件事。這兩個問題問清楚了，你就避開了 OpenVPN 使用上八成的坑。

實查：2026-09-11

資料來源：

• OpenVPN 官方社群文件〈OpenVPN 2.x Community How-To: Complete Setup & Configuration Guide〉：https://openvpn.net/community-resources/how-to/

本文只整理公開技術文件與其對消費者的意義，不提供任何規避地區限制或封鎖的操作教學。使用公司或學校提供的 VPN，請遵守該單位規範與當地法令。