“VPN”是一个适用于各种情况的大伞概念；它们都有以下共同点：

• 需要保密通信；
• 最终，相关各方应该表现得好像他们是公共共享网络的一部分；
• 但是，该专用网络与 Internet 的其余部分之间没有物理隔离；使用相同的电线；分离是加密完成的，因此是“虚拟的”。

典型的 VPN 情况是组织想要将两个站点链接在一起。计算机用户应该能够连接到两个站点上的所有计算机，就好像它们都在一个 LAN 上一样；但是所有必须通过 Internet 传输的数据（从一个站点到另一个站点）都通过加密隧道传输。从外部（即有人窃听站点之间的链接），可以观察到的只是数据从一个站点流向另一个站点；但加密既涵盖数据本身，也涵盖源地址和目标地址（专用网络中相关主机的 IP 地址）。攻击者只能看到两个站点的外部路由器之间的流量，但无法知道两个站点内的哪些特定机器当前正在通信。

这是 VPN 提供的隐私级别：如果隐藏了交换的数据以及真实的源地址和目标地址。攻击者仍然可以推断出数据量以及哪些站点处于活动状态，但不能推断出确切的机器。

这种模式延伸到旅行推销员，他们从酒店房间连接到他们的家庭办公室。他们打开一个 VPN 连接，此时他们的笔记本电脑“好像”在办公室，连接到办公室网络。但窃听者一般只看到笔记本电脑与“办公室”相关联，而不是联系到具体的办公室服务器。

VPN 和代理服务器之间的区别有点模糊。不要试图读太多。当我们说“VPN”时，我们想强调加密层应该适用于所有协议，因为 VPN 应该传输 IP 数据包；而代理通常专用于单个协议或一小组协议，例如 HTTP。

我认为如果你从一本关于网络而不是 VPN 的书开始对你很有帮助。

我和 VPN 代理之间的路由器如何知道如何处理该数据包。它不再是IP数据包了。它不知道源地址。我还是有点迷茫

您和端点之间的路由器（您定义为 VPN 代理）只知道 VPN“隧道” - 而不是通过它。用外行的话来说，有两层网络在进行。

此外，您可以欺骗源 IP 地址，但随后您将无法获得任何返回流量，因为您“与之交谈”的人将没有正确的地址可以回复。

VPN 仅隐藏 2 个端点之间的流量。人们连接到 VPN 以供业务使用是很常见的。所以他们进入星巴克并连接，然后可以访问他们的办公室网络。现在，该人开始通过该 VPN 浏览网页。所以......互联网上的任何人（即嗅探星巴克的人，或星巴克使用的 ISP）都无法明确看到您的网络浏览流量。他们所看到的只是一个 VPN 隧道。据他们所知，这可能是网络流量、Skype 电话、种子文件，等等。他们只看到从端点到端点的加密数据包。

http://www.howstuffworks.com/vpn.htm

这将是您开始的好地方。我已经阅读了 OpenVPN 的书，如果您不熟悉 VPN 架构，这不是一个好的起点。这显然是一本关于特定 VPN 软件的书。

让我们假设 Bob 在他的家里有一台计算机，并且在他当地的互联网服务提供商那里有一个互联网帐户。说，超网公司。

当 Bob 从他的计算机访问一个网站时，比如 www.google.com，会发生以下情况（简化）：

1. Bob 的计算机向 SuperNet Inc 的 DNS 服务器询问 Google 网络服务器的 IP 地址。DNS 或域名系统就像一个地址簿：查找“www.google.com”并获得 74.125.237.84。

2. SuperNet Inc 的 DNS 服务器告诉 Bob 的计算机，“www.google.com”确实解析为 74.125.237.84。

3. Bob 的计算机使用全球唯一 IP 地址 74.125.237.84 启动与 Internet 上另一台计算机的连接。

Bob 的计算机可能在世界任何地方，并且不会以任何方式直接连接到 Google 的网络服务器。因此，连接通过 Internet 上的几个中间路由服务器进行路由（中继），当然包括 SuperNet Inc 的路由器。这些服务器与 Google 无关，只是在 Bob 的计算机和 Google 的网络服务器之间传递消息。

所有其他 Internet 通信都会发生类似的过程，包括与电子邮件服务器、文件服务器等的通信。

代理服务器是可以通过代理或代表您为您做某事的服务器。例如，如果 Bob 将他的 Web 浏览器配置为使用代理服务器，那么当他尝试访问“www.google.com”时，他的计算机不会启动到 74.125.237.84 的连接，而是会启动到代理服务器的连接，并且将要求它代表 Bob 获取/检索 www.google.com 网页。因此，Google 的网络服务器将接收来自代理服务器的连接，而不是来自 Bob 的计算机。

虚拟专用网络

通常，连接到同一网络的所有计算机都可以直接相互通信。例如，在 Bob 的家中，他的计算机可以连接到他兄弟的计算机以复制文件，并且 Bob 可以将文件打印到他的无线打印机。

主要出于安全原因，计算机不允许从 Internet 连接到它们。您不希望随机的陌生人从 Internet 访问您的文件，对吗？

VPN 使一个网络上的计算机能够与另一个网络上的计算机进行通信。此外，VPN 协议（建立和维护 VPN 连接的语言）通常会加密通过 VPN 进行的所有通信。

在上面 Bob 访问 Google Web 服务器的场景中，SuperNet Inc 的路由器和每个其他网络中继都可以“看到” Bob 的计算机和 Google 之间的所有通信。同样，即使 Bob 使用代理服务器，SuperNet Inc 的路由器和其他网络中继也可以“看到” Bob 的计算机和代理服务器之间的所有通信（包括中继到 Google 的通信）。在后一种情况下，唯一的区别是代理服务器访问的是 Google 的网络服务器，而不是 Bob 的计算机。

使用 VPN 服务进行安全/匿名类似于使用代理服务器。但是，在这种情况下，VPN 用于保护 Bob 的计算机和 VPN 服务器之间的所有通信。SuperNet Inc 的路由器和其他网络中继仅“看到”加密通信。