开源（Open-Source）

开源软件是指以许可证形式公开源代码的软件，任何人都可以阅读、审计、修改和再分发。在VPN领域，这个词通常指服务商的客户端应用（Windows、macOS、Linux、Android、iOS）以及它们使用的隧道协议。闭源（专有）软件则不公开代码，用户只能相信厂商对其功能的描述。

工作原理

服务商把代码放在公开仓库中，通常是GitHub或GitLab，并附上GPL、MIT或Apache 2.0等许可证。安全研究人员、竞争对手和普通用户都可以阅读代码、报告漏洞、提交修复，或自行编译应用。

对VPN来说，开源体现在两个层面：

• 协议。 OpenVPN和WireGuard都是开源协议，经过广泛审查。AmneziaWG（带DPI混淆的WireGuard分支）等变体同样公开。部分厂商自研的专有协议，只有在厂商允许时才能被审查。
• 客户端应用。 有些服务商公开全部应用代码，有些只公开一部分，也有些即使底层用开放协议，应用本身也不公开。

服务器软件以及管理账户和支付的后端，即使是客户端开源的服务商，也几乎从不完全公开。

为什么重要

公开代码让人可以核实原本只能靠信任的说法：应用是否泄露DNS请求，Kill Switch如何工作，使用哪种加密算法（如AES-256或ChaCha20），以及应用是否回传统计数据或设备标识。公开代码中的问题通常会被公开报告和修复，提交记录也能显示改动的时间和内容。

开源还能减少对厂商的依赖。如果服务商停止运营或改变方向，代码可以被分叉（fork）继续使用，开放协议也能配合第三方客户端和自建服务器。

局限与风险

开源是一个积极信号，但不是保证。

• 代码不等于服务器。 公开的客户端代码无法说明服务器端发生了什么。是否保留流量或连接日志，取决于服务器配置和无日志政策，需要独立审计来验证。
• 公开代码未必等于发布的应用。 除非服务商提供可复现构建（reproducible builds），否则无法确认应用商店里的版本就是由公开源码编译而来。
• 公开不等于有人审查。 很多仓库实际很少被认真阅读，专业安全审计仍比无人细看的公开代码更有说服力。
• 部分开源。 营销中的“开源”有时只指某个组件，比如一个库或浏览器扩展。
• 漏洞对攻击者同样可见。 通常修复速度快能抵消这一点，但长期不更新的开源应用并不会自动更安全。

开源、审计与透明度的区别

最可靠的组合是：客户端开源、应用和服务器定期接受独立审计，并发布清晰的透明度报告。

对比工具时要看什么

• 开源范围：全部客户端、部分平台，还是只有协议。
• 代码仓库在哪里，是否持续维护，有无近期提交和对issue的回应。
• 许可证类型，是否允许分叉和再分发。
• 是否提供可复现构建或可验证的签名。
• 独立安全审计的时间和范围，报告是否完整公开。
• 提供哪些协议，专有协议是否经过公开审查。
• 是否设有漏洞赏金（bug bounty）计划。

与开源相关、值得一并查看的功能还有混淆服务器，它们常基于开放协议来绕过网络审查。