加密通信：最基础的防线
你在咖啡馆连上公共Wi-Fi，打开银行App转账，这条信息如果没加密，附近有人用工具一抓就拿到了。HTTPS 就是日常中最常见的加密手段，浏览器地址栏的小锁标志代表连接已加密。现在绝大多数正规网站都默认启用 HTTPS，但你得留意别点进那些写着“不安全”的页面。
使用VPN隐藏真实IP
VPN（虚拟专用网络）能把你的网络流量通过加密隧道转发到另一台服务器。比如你在家里上网，实际出口IP可能是东京或柏林的节点。这样本地网络管理员只能看到你在连VPN，看不到你具体访问了哪些网站。市面上有不少商用服务，选的时候注意查清日志政策，有些号称“无日志”其实偷偷记录，反而更危险。
Tor网络：多层加密匿名浏览
Tor 浏览器把你的请求像洋葱一样层层加密，经过至少三个随机节点中转才到达目标网站。每个节点只知道上一个和下一个地址，没人能串起完整路径。虽然速度慢一些，但适合对匿名要求高的场景，比如记者联系线人、敏感地区用户访问被屏蔽的信息。
DNS over HTTPS（DoH）防域名窥探
传统DNS查询是明文的，运营商能看到你搜了什么网站。DoH 把域名解析请求也走HTTPS加密，比如 Firefox 和 Windows 10 都支持开启。设置方法简单，浏览器里搜“启用DoH”就能找到开关。开了之后，哪怕有人盯着路由器日志，也看不到你访问的具体域名。
端到端加密聊天工具
微信聊天内容其实是存在服务器上的，理论上平台能调取。而像 Signal、Session 这类工具，消息只在你和对方设备间加密，连服务商自己都解不开。发完照片删了，对方手机里的副本还在，但服务器早就没了记录。这类应用适合传一些不想留痕的内容。
本地代理与防火墙规则
高级用户可以用 Shadowsocks 搭建个人代理，配合 VPS 使用。相比公开VPN，这种私有协议更难被识别和封锁。配合 iptables 或 pfSense 设置流量规则，可以精确控制哪些应用走代理，哪些直连。例如让浏览器走代理，游戏客户端直接连，兼顾安全和速度。
代码示例：配置简单的SSH隧道
如果你有一台海外VPS，可以用SSH建立本地加密通道：
ssh -D 1080 -C user@your-vps-ip运行后，在系统网络设置里配置 SOCKS 代理为 127.0.0.1:1080，所有流量就会通过VPS加密转发。
物理隔离也是一种选择
最彻底的方式是分设备使用。工作手机连公司网络，处理日常事务；私人手机只连家用Wi-Fi或移动数据，登录社交账号。两套体系不混用，即使某一边被监控，也不会波及全部生活。
别忽视设备本身的安全
再强的加密也防不住手机被装木马。定期更新系统，别乱点短信链接，关闭不明来源应用安装权限。公共充电桩可能带“数据窃取”功能，建议用只充电线或自带电源。