VPN 梯子是什么？VPN、梯子、代理三个词的区别

选梯子编辑部 · 更新于 2026-10-08

选购指南入门概念难度：入门约 9 分钟读完

“VPN 梯子”这个说法把三个层面的词揉在了一起：VPN 是一类技术，梯子是口语里对用途的叫法，代理是一种工作方式。它们不是三种可以互相替换的产品。把这三个词分清，你就能看懂一件让很多人困惑的事：手机上装的明明是代理客户端，状态栏却显示着 VPN。

VPN 梯子是什么：三个词不在同一个层面

搜索里常见“VPN 梯子”和“梯子 VPN”两种写法，指的是同一件事：一个能访问境外网络服务的工具。日常这样说没有问题，但买东西、查故障时，混着用会让你找错方向。

举两个常见的例子。有人买了机场订阅，却去搜“VPN 设置教程”，照着在系统设置里手动添加 VPN，发现根本没有地方填订阅链接。也有人看到状态栏的 VPN 标识消失了，就去问机场客服“VPN 是不是坏了”，其实只是客户端被系统在后台关掉了。两种情况都是因为把词用混了。

先看三个词各自属于哪个层面。

所以这三个词回答的是三个不同的问题。VPN 回答“用的是哪类技术”。梯子回答“拿它来做什么”。代理回答“流量是怎么被转发的”。

一个工具可以同时符合其中几个描述。比如现在常见的机场服务：用途上是梯子，工作方式是代理，在手机上又借用了系统的 VPN 接口。三个词都沾边，但没有一个能单独概括它。

VPN：一类把设备接入另一个网络的技术

VPN 是 Virtual Private Network 的缩写，中文叫虚拟专用网。它最初解决的是企业的问题：员工不在办公室，怎样安全地访问公司内部的系统。

做法是在设备和公司网络之间建立一条加密隧道。连上之后，设备会多出一个虚拟的网络接口，像是被一根看不见的网线接进了公司内网。更完整的介绍可以看 Cloudflare 的 VPN 说明。

VPN 有两个值得记住的特点：

• 它工作在系统的网络层。 隧道建立后，设备上的流量按路由规则进入隧道，应用程序自己并不知道。
• 它对应用是透明的。 浏览器、游戏、命令行工具都不需要做任何设置，就已经在隧道里了。

后来出现了面向个人的商业 VPN 服务，把“接入公司网络”换成“接入服务商的服务器”，用途也从远程办公变成了保护公共网络下的连接、更换网络出口。技术没变，变的是隧道另一头连着谁。

代理：由中间服务器替你转发请求

代理的思路更直接：应用不直接访问目标网站，而是把请求交给一台中间服务器，由它代为访问，再把结果带回来。

最基础的两种是 HTTP 代理和 SOCKS 代理。它们的工作方式在 MDN 的代理与隧道文档里有标准的说明。

和 VPN 相比，代理有一个关键差别：应用需要知道代理的存在。要么在应用里填写代理地址，要么由操作系统的“系统代理”设置告诉应用。应用可以遵守这个设置，也可以无视。

机场使用的 Shadowsocks、VLESS、Trojan 等协议，是在这个思路上加了加密和认证的代理协议。你电脑上的客户端做的事情是：

1. 在本机开一个代理端口，接收浏览器等应用发来的请求。
2. 按规则判断这个请求该直连还是走节点。
3. 把需要走节点的请求用代理协议加密后发出去。

所以说机场是“代理”而不是“VPN”，指的是这一层：流量是被转发的，而不是设备被接入了另一个网络。

梯子：只描述用途的口语词

三个词里，梯子是唯一不带技术含义的一个。它只说明“我要借助一段中间线路去访问某些服务”，至于这段线路是 VPN 隧道还是代理转发，这个词并不关心。

正因为如此，梯子可以和另外两个词自由搭配。用商业 VPN 服务的人说自己有梯子，用机场订阅的人也说自己有梯子，两种说法都成立。梯子由哪几部分组成，梯子是什么里有完整的拆解。

系统层 VPN 隧道和应用层代理差在哪

把两种方式放在一起，差别主要在“从哪里接管流量”。

现实中两者的界线已经模糊了。主流的代理客户端一般提供两种接管方式：

• 系统代理模式：只修改系统的代理设置，属于应用层的做法。轻量，但管不到不遵守设置的程序。细节见系统代理。
• TUN 模式：创建一个虚拟网络接口，用系统层的方式接管流量，再用代理协议转发出去。覆盖面和 VPN 一样全，适合游戏、命令行这类不认代理的程序。细节见TUN 模式。

换句话说，TUN 模式是“用 VPN 的方式接管，用代理的方式转发”。这也是为什么 VPN 和梯子这两个词越来越难分开：在接管流量这一步，它们用的是同一套系统机制。

手机上的代理客户端为什么也显示 VPN 图标

电脑上有全局的系统代理设置，手机上没有与之对等的开关。一个 App 想让其他 App 的流量经过自己，系统给出的正规途径只有一条：VPN 接口。

以安卓为例。Android 的 VpnService 文档把它描述为供应用构建自己的 VPN 方案的基础类：它创建一个虚拟网络接口，配置地址和路由规则，再把这个接口交给应用读写。文档里没有规定应用拿到数据包之后必须使用哪种协议。

所以当你在安卓的代理客户端里点下连接，发生的是这些事：

1. 客户端向系统申请建立 VPN 连接。第一次申请时，系统会弹出确认框，需要你同意。
2. 系统创建一个虚拟网络接口，把设备的流量导向它，并在连接期间显示 VPN 相关的通知或图标。
3. 客户端从这个接口读取数据包，按规则判断直连还是走节点。
4. 需要走节点的流量，用订阅里指定的代理协议加密后发往机场的服务器。

iOS 的机制类似。客户端需要在系统里添加一条 VPN 配置，连接后系统会显示 VPN 标识，具体样式以系统版本为准。

由此可以得出一个准确的说法：VPN 图标表示“有 App 正在通过系统 VPN 接口接管流量”，而不表示“正在使用 VPN 协议”。

这也是“梯子 VPN”这类叫法在手机用户里特别常见的原因：他们每天在屏幕上看到的，就是 VPN 这三个字母。

这个机制还解释了另外两个现象。

一是手机上同一时间通常只有一条 VPN 连接能生效。打开第二个同类 App，前一个就会被断开。

二是部分应用会检测设备是否开启了 VPN 接口，并据此改变行为。这是应用自己的策略，和你用的是哪种协议无关。

怎么确认自己设备上生效的是哪一种

不用猜，自己动手查三处就能确定。

在手机上：

• 打开系统设置里的 VPN 页面，看当前连接的条目属于哪个 App。显示的是代理客户端的名字，说明是它在借用 VPN 接口。
• 断开客户端后再看，状态栏的 VPN 标识应该消失。没有消失，说明还有别的 App 在占用。

在电脑上：

• 打开系统的代理设置。如果里面填着本机地址和一个端口，说明客户端正处于系统代理模式。
• 查看网络连接或网络接口列表。如果多出一个由客户端创建的虚拟网卡，说明 TUN 模式已经开启。

用行为验证：

• 找一个不遵守系统代理的程序，例如命令行里的下载工具，访问一个需要代理才能到达的地址。
• 只开系统代理时它通常连不上；开了 TUN 模式后能连上，就印证了两种方式覆盖范围的差别。

如果你发现某个 App 始终不走代理，排查思路在App 不走代理里；命令行工具的单独设置见终端代理。

词义分清之后，接下来看什么

• 想知道两类技术各适合什么情况：读梯子和 VPN 的区别，那篇侧重怎么选。
• 在商业 VPN 和机场之间犹豫：看VPN 机场里的计费、软件和节点对照。
• 已经确定要买机场订阅：到梯子推荐按价格和线路筛选候选。
• 游戏或某些软件不走代理：直接看TUN 模式，了解什么时候该开、怎么开。

以后再看到 VPN 梯子这类拼在一起的叫法，可以先拆开问三个问题：它用的是哪类技术，流量是怎么被接管的，卖给你的是服务还是软件。三个问题有了答案，名字叫什么就不重要了。

接着读

• 选购指南 · 梯子和 VPN 有什么区别？一张表讲清原理与选择
• 选购指南 · VPN 机场是什么？和传统 VPN 相比该买哪种
• 使用教程 · TUN 模式是什么？什么时候该开、怎么开
• 使用教程 · 系统代理怎么设置？和 TUN 模式的区别与适用场景
• 术语 · TUN 模式是什么意思
• 选购指南 · 梯子和加速器有什么区别？游戏加速器能当梯子用吗
• 选购指南 · Cloudflare WARP 是什么？它能当梯子用吗
• 选购指南 · VPN 推荐怎么看？好用的 VPN 软件怎么选，8 项核对清单

文中出现的术语

• TUN 模式
• 系统代理
• 分流
• Shadowsocks
• 落地节点
• 直连
• Trojan
• VLESS