为了提高安全性，Proton VPN 不再支持2023 年 9 月之前下载的手动 OpenVPN 配置文件。如果您目前仍在使用旧配置文件，并希望继续使用手动 OpenVPN 配置，则需要在 2026 年 2 月底之前下载新的配置文件。

OpenVPN 是一种老旧的 VPN 协议，尽管安全性依然稳固，但与强大、精简且安全的现代 VPN 协议（如 WireGuard® 和我们自己的 Stealth 协议）相比，它显得臃肿而缓慢。正因如此，我们正逐步停止在官方应用中支持 OpenVPN。

我们建议使用以下方式代替手动 OpenVPN 配置：

  • 我们的官方应用（受支持的平台）：这些应用提供了许多通过手动配置根本无法实现的高级功能，包括支持我们的 Stealth 协议、WireGuard TCP，以及通过图形用户界面直观地选择服务器。
  • WireGuard（其他所有设备）：WireGuard 的性能优于 OpenVPN，同时具有同等级别的安全性。因此，在可能的情况下，我们建议在仅支持手动 VPN 配置的设备（例如路由器）上使用 WireGuard。

我们仅建议在不支持 WireGuard 的设备（通常是较旧的设备）上使用手动 OpenVPN 配置。

哪些人会受到影响？

所有目前使用 2023 年 9 月之前下载的 OpenVPN 配置文件为 Proton VPN 手动配置设备的用户，都必须进行此更新。

您需要做什么？

  • 如果您的设备支持我们的官方应用或手动 WireGuard 配置，我们建议切换到这些方式。
  • 如果您需要继续使用手动 OpenVPN 配置，请下载新的 OpenVPN 配置文件，并使用它们重新配置设备。

您需要在什么时候执行此操作？

您需要在 2026 年 2 月底之前更新 OpenVPN 配置。2 月 28 日之后，您的旧配置将无法继续使用。

有哪些变化？

在 Proton VPN，我们始终秉持尽可能高的安全标准。为实现这一目标及其他改进，我们新版 OpenVPN 配置文件采用了：

  • AES-256-GCM（取代 AES-256-CBC）：AES-GCM 内置完整性校验，支持并行处理并具有其他效率提升，与 AES-CBC 相比速度更快、安全性更强，且电池消耗更少。
  • 更新的服务器证书：新版 X.509 证书采用更强的签名算法和更长的有效期，以增强信任链并提升对某些攻击的抵御能力。
  • tls-crypt + tls-auth（而不仅仅是 tls-auth）：tls-auth 可验证数据包确实来自知晓共享密钥的客户端。添加 tls-crypt 后，整个数据包（包括其长度和载荷）都会被加密，攻击者因此无法读取或猜测其结构。这使被动嗅探和伪造数据包攻击的难度大大增加。

更快、更安全的 OpenVPN

虽然 OpenVPN 仍然安全，但它是一个老旧且低效的 VPN 协议。在条件允许的情况下，您应升级到更优秀、更现代的替代方案（例如我们的官方应用，或在路由器等设备上手动配置 WireGuard）。

不过，OpenVPN 确实仍然非常安全，因此在不支持新协议的设备上使用依然没有问题。在这种情况下，将手动配置更新为使用我们的新 OpenVPN 证书，将带来更快、更安全的 VPN 设置。