自建 VPN 与 商业代理的对比（Self-hosted VPN vs Proxy Service）
1. 定义
自建 VPN = 在你自己的 VPS 上跑一套 VPN 服务（WireGuard / OpenVPN 等），机器、密钥、出口 IP 全由你掌握。它是 vps-vpn.md 里”在 VPS 上自建 VPN”那张组合图的具体落地。
商业代理 / 商业 VPN（如 rabbitpro、快连 等） = 别人已经建好大量 VPN/代理节点，你付费订阅，开箱即用、多地区任选。
一句话区分：自建 = 自己当运维，机器和出口都是你的；买代理 = 当租客，用服务商建好的出口。 两者底层技术（加密隧道）可能相同，差别在”谁控制服务器、谁看得到流量、谁运维”。
类比：自建像自己盖一栋带门禁的房子（钥匙/安保你定）；买代理像租长租公寓（省心，但物业看得到谁进出）。
2. 自建 VPN 的工作原理
你的设备 ──加密隧道(WireGuard)──▶ 你的 VPS（VPN 网关）──▶ 互联网
(客户端配置: 私钥+对端公钥) (服务端: 公钥+转发规则) (出口 = VPS 公网 IP)
隧道两端各持密钥对：客户端用”自己私钥 + 服务端公钥”加密，服务端反之。VPS 上开启 IP 转发 + 防火墙规则，把进来的隧道流量转发出去。详见 vps-vpn.md 第 4 节组合图。
3. 自建步骤（架构级，以 WireGuard 为例）
- 租一台 VPS：选地域/配置，拿到公网 IP（见
vps-vpn.md第 2 节）。WireGuard 极轻量，最低配即可。 - 选协议：推荐 WireGuard——现代、轻量、快、配置简单；老需求再用 OpenVPN。
- 装服务端：
apt install wireguard（或pivpn一键脚本），生成服务端密钥对。 - 写配置：服务端
wg0.conf里[Interface]设私网地址 + 监听端口 + 转发规则；[Peer]放客户端公钥。 - 客户端配置：在手机/电脑填”自己私钥 + 服务端公钥 + 服务端 Endpoint(域名/IP:端口)“，与服务端互为对端。
- 开转发 + 防火墙：VPS 上开
net.ipv4.ip_forward=1，用ufw/iptables放行 VPN 端口并做 NAT 转发。 - 连上验证：启动隧道，
curl ifconfig.me看到的出口 IP = 你的 VPS IP，即成功。
登录 VPS 用 SSH + 密钥（见
password-auth.md）；VPS 的 IP 绑定域名见dns-binding.md。使用须遵守当地法律法规与服务条款。
4. 自建 vs 买代理：对比表
| 维度 | 自建 VPN（VPS + WireGuard） | 商业代理 / 商业 VPN（rabbitpro、快连 等） |
|---|---|---|
| 控制权 | 机器、配置、密钥全自己掌握 | 服务端由厂商控制，你只有客户端 |
| 信任 / 隐私 | 流量只过你自己的服务器，无第三方经手 | 流量过厂商服务器，厂商理论上看得到（要信任厂商） |
| 成本 | VPS 月费（按配置/流量计），无订阅 | 按套餐订阅，通常门槛低、按需买流量/时长 |
| 维护 | 自己装、排错、升级、换 IP | 零运维，开箱即用 |
| 速度 / 稳定 | 取决于你 VPS 的带宽与线路（跨境常不稳定） | 厂商优化过的线路，通常更快更稳 |
| 节点 / 地域 | 只有你买的 VPS 所在地（一般 1 个） | 多地区、多节点任选、可切换 |
| IP 质量 / 风控 | 云厂商 IP 常被目标站风控/限流/标记 | 厂商有 IP 池轮换，抗风控通常更好 |
| 适用 | 自有内网远程接入、学习、完全自控 | 想省心、要快稳跨境线路、要多节点、不想运维 |
5. 怎么选
- 选自建，如果：想完全掌控数据与出口、自己本就有 VPS、要安全接回自己的内网/设备、想学网络运维。
- 买代理，如果：要省心开箱即用、要快且稳的多地区线路、要抗风控的 IP 池、不想碰命令行和运维。
同一条技术线还能做别的：你 VPS 上除了跑 VPN，也能跑
../ai-agent-guide/api_relay.md的中转站——VPN 在网络层加密整条流量，中转站在应用层只代理特定请求，两者是”同一台 VPS 上的不同层服务”。
6. 常见误区
❌ “买了 VPS 就自动有 VPN” → 还要在 VPS 上装 WireGuard/OpenVPN 并配密钥与转发（见第 3 节），VPS 本身只是机器。
❌ “自建一定比买代理更私密” → 自建的流量只过你自己的服务器（这点确实更可控），但 VPS 的公网 IP 是云厂商的、且常被目标站风控；而商业厂商有 IP 池和线路优化。隐私可控 ≠ 速度/抗风控更好。
❌ “买代理厂商就看不到我的流量” → 流量照样先到厂商服务器再转出，厂商看得到（除非端到端 HTTPS 已加密内容）。信任模型正好反过来：自建信自己，买代理信厂商。
❌ “VPN 替代 HTTPS” → 不替代。VPN 只加密”你↔出口”这段，端到端机密性仍靠 HTTPS（见 http.md 第 8 节）。
❌ “自建一劳永逸” → 要自己管更新、密钥轮换、IP 被封时换机、监控流量；商业服务把这些运维包了。
❌ “协议越复杂越安全” → 现代 WireGuard 比老式 OpenVPN 更简练也更安全；安全关键在于密钥保管 + 防火墙，不在协议堆叠。
7. 延伸阅读 / 关联概念
vps-vpn.md— VPS 与 VPN 概念、组合图（本文的前置）gateway.md— VPN 网关是一种网络出口；网关概念network-security.md— 加密、隧道、传输安全../ai-agent-guide/api_relay.md— 同一台 VPS 上可并存的应用层中转（与 VPN 层不同）dns-binding.md— VPS 公网 IP 绑域名，给 VPN Endpoint 用稳定地址password-auth.md— SSH 密钥登录 VPS；密钥管理tcp-udp.md— 隧道协议的传输层底座
合规提示：自建或使用 VPN/代理均须遵守当地法律法规与服务条款；本文聚焦技术架构与信任模型对比。