4.2 VPN 类型

4.2 VPN 类型

本节摘要：SOURCE 4.2 区分远程访问、站点到站点、SSL VPN 等部署形态；选型影响网关位置与认证方式。

故障场景：总部与分支无法互访内网网段

站点到站点 VPN 未宣告对端 感兴趣流 或 ACL 拦截。Remote Access 适合单用户笔记本；Site-to-Site 连接两个固定网关。

一、类型对照（SOURCE 4.2）

⚠️ 常见坑：把 consumer 翻墙 VPN 与企业 remote access 混谈——SLA、日志与 MFA 要求完全不同。

💡 关键直觉：类型决定「谁发起、加密终止在哪、路由如何写」。

本章回顾

• Site-to-Site 常跑 IPsec 永久隧道
• Remote Access 需考虑并发授权与 MFA
• SSL VPN 粒度可到应用 URL

深入讨论：类型决定认证、路由与安全边界

三种 VPN 类型的本质差异在于「谁发起连接、加密终止在哪、谁控制访问粒度」。Remote Access 由员工设备发起，认证强调身份（用户名密码 + MFA + 设备合规），访问粒度通常到内网网段；Site-to-Site 由网关与网关之间建立，无用户参与，认证依赖预共享密钥或证书，关注的是网络互通；SSL VPN 则把访问粒度压到应用层 URL，可以在不装客户端的情况下按应用授权，但同样面临「登录后可访问范围」的管理问题。

安全边界的思考顺序应该是：先确定「哪些人/哪些设备需要访问什么」，再决定用什么类型的 VPN。比如「偶尔出差访问一个内部应用」适合 SSL VPN 门户；「分支机构整体互联」适合 Site-to-Site；「全员常态远程办公」则适合 Remote Access 加 MFA，并配合后续第 5 章的零信任策略做微分段。

# VPN 类型选型决策树
是否需要跨分支网络互通？是 -> Site-to-Site（IPsec 永久隧道）
否：
是否需要零安装 Web 应用访问？是 -> SSL VPN 门户
否：
是否为全员常态远程办公？是 -> Remote Access + MFA + 设备合规
否：
是否少量临时访问？是 -> 短期授权或云桌面替代
​

选型决策树的价值是把「感觉哪个好」变成「按场景对号入座」。VPN 部署最大的成本往往不是软件许可，而是「边界画错了之后的安全事件」——类型选对了，认证与路由策略的复杂度会大幅下降。

附录速查：三种 VPN 类型的配置要点对照

# 三种类型对照速查
维度          Remote Access         Site-to-Site          SSL VPN
接入方式      客户端拨号            网关互联               浏览器/轻客户端
认证         用户名密码+MFA         PSK/证书              门户账号+MFA
加密端点     终端设备             两端防火墙             网关或门户
访问粒度     内网网段             内网网段               应用 URL
典型故障     证书过期、MFA 失配   感兴趣流缺失、ACL     会话超时、浏览器兼容
并发考量     授权数与带宽          隧道数量与带宽         连接数与门户资源

# Site-to-Site 常见故障定位
两端网段不通 -> 检查感兴趣流（crypto map）与 NAT 放行
隧道起来无路由 -> 检查对端宣告网段与本地路由注入
加解密计数为 0 -> IKE/ESP 协商未完成，看 phase 1/2 日志

# Remote Access 安全基线
强制 MFA，默认全隧道或显式分流
设备合规检查（系统版本、补丁、杀软）
会话超时策略：空闲断开 + 绝对时长限制
吊销账号即时失效，日志留存满足审计

# SSL VPN 使用注意
粒度到 URL 不等于安全到 URL，应用侧仍需鉴权
老浏览器不支持时提供降级提示而非降级协议
门户本身要加固：禁用弱密码、加 HSTS
​

三种类型的配置要点差异，本质是「边界、认证、粒度」三个变量的不同取值。对照表把差异摊开，选型评审时直接按自身约束逐行比对，就能避免「拿远程访问的配置模板去搭分支互联」这类常见错配。

再补充一个常见误区：把「站点到站点」和「远程访问」混在同一台设备上不做隔离。现实中很多中小企业在同一网关同时提供两类接入，一旦认证或路由策略互相干扰，会出现「分支内网能被外网员工访问」这类边界混乱。稳妥做法是在配置层面显式划分：远程访问用户组限定可访问网段与并发数，站点到站点隧道单独走一段策略路由，两类流量互不穿透。边界清晰，后续排障与安全审计都会省下大量时间。

在采购与预算层面，也建议按类型分别核算授权与带宽，避免「远程访问买了大并发、站点互联却在瓶颈」，导致两边体验都不达预期。