[点晴永久免费OA]VPN 全解：从秘密隧道到零信任变革
当前位置：点晴教程→点晴OA办公管理信息系统
→『 经验分享&问题答疑 』
|
| 协议 | 比喻 | 特点 | 评价 |
|---|---|---|---|
| PPTP | 🚲 老式自行车 | 极其古老，几乎没有安全性，极易被破解。 | 淘汰 ❌ (千万别用了) |
| L2TP/IPsec | 🚓 防暴装甲车 | 两个协议组合使用。IPsec 负责加密（很强），L2TP 负责传输。兼容性好（手机电脑自带）。 | 经典 ✅ (配置稍繁琐，UDP端口易被封锁) |
| OpenVPN | 🚜 万能改装车 | 开源界的霸主。基于 SSL/TLS（和 HTTPS 一样）。极其灵活，能穿透各种防火墙，支持 TCP 443 伪装。 | 主流 ✅ (企业首选，抗干扰强) |
| WireGuard | 🏎️ 现代超跑 | 只有 4000 行代码（OpenVPN 有几十万行）。极简、极速、省电。纯 UDP 协议。 | 未来 🚀 (速度最快，但需注意 UDP QoS) |
除了协议，我们还需要按使用场景来分类，这是企业选型时最看重的。
场景：北京分公司的局域网 <--> 上海总部的局域网。
特点：
透明：员工无感知，不用装任何软件。
设备：通常由两边的路由器或防火墙建立连接。
协议：传统使用 IPsec，现代方案也开始使用 WireGuard。
比喻：在两个办公楼之间修了一条地下通道，大家走来走去不用刷卡。
场景：出差员工/在家办公 <--> 公司内网。
特点：
需客户端：电脑/手机上要装 VPN 软件（或者用浏览器）。
协议：通常使用 SSL VPN (OpenVPN) 或 L2TP。
比喻：给员工发了一把任意门钥匙，在哪都能开门回公司。
这是企业网络工程师面试必考题，也是选型的关键。
特性 IPsec VPN SSL VPN 工作层级 网络层 (Layer 3) 应用层/会话层 (Layer 4-7) 客户端 通常需要安装专门驱动/软件 浏览器即可 (Clientless) 或轻量插件 访问权限 粗粒度：一旦连上，就像把电脑插在内网网线上，通常能访问整个网段。 细粒度：可以精确控制你只能访问 OA 系统，不能访问财务系统。 适用场景 两个固定地点的连接 (Site-to-Site) 移动办公、员工远程接入 穿越防火墙 困难 (容易被酒店/公共WiFi封锁) 容易 (伪装成 HTTPS 流量，和看网页一样)
很多同学容易把这两个概念混淆，尤其是涉及“科学上网”时。
VPN (虚拟专用网络)：
全局性：它是操作系统级别的。一旦开启，你电脑上所有软件（QQ、微信、浏览器、游戏）的流量都会走隧道。
侧重：数据安全、加密、隐私。
Proxy (代理)：
局部性：通常只接管浏览器的流量。你开了代理看网页，但你的 QQ 可能还是直连的。
侧重：转发、缓存、绕过限制。
注：Shadowsocks/V2Ray 等技术本质上属于加密代理 (SOCKS5 Proxy)，而不是标准的 VPN 技术，虽然效果类似。
“为什么不能把所有流量都往公司发？” —— 这是 VPN 使用体验的分水岭。
原理：你连上 VPN 后，你的电脑默认网关被修改，所有上网请求（包括看 B 站、刷抖音）都必须先绕到公司服务器，再由公司服务器去访问互联网。
致命痛点：
带宽爆炸：如果几千名员工都在家办公，且有人在看 4K 视频，公司的出口带宽瞬间被挤爆，导致正常的办公邮件发不出去。
隐私问题：你在家摸鱼看什么网页，公司的防火墙日志里记得清清楚楚。
速度极慢：你明明是 500M 光纤，访问百度却要绕地球一圈。
原理：只把“去往公司”的流量放进隧道，其他的走你自家的宽带。
访问 192.168.1.100 (内网服务器) ➡️ 走 VPN 隧道。
访问 baidu.com (公网) ➡️ 走本地宽带。
优点：
省带宽：公司不需要为你私人的娱乐流量买单。
体验好：办公和娱乐互不干扰，速度都快。
虽然“隧道分离”很爽，但高安全等级的企业（如银行、军工）通常会强制开启全隧道。
风险：如果你的电脑同时连着不安全的公共 WiFi（黑客潜伏）和公司 VPN。
跳板攻击：黑客可能攻破你的电脑，然后把你当作跳板，通过 VPN 隧道潜入公司内网。全隧道模式可以强制所有流量经过公司防火墙清洗，降低这种风险。
VPN 服务端部署在哪里？通常有两种经典架构。
VPN 服务器旁挂在核心交换机旁边，不改变现有网络主干。
注：VPN 服务器只处理 VPN 相关的加密流量，不影响公司正常的上网速度。
VPN 设备直接充当网关，所有流量都经过它。适合中小企业。
注：VPN 设备也是路由器 (All-in-One)，一旦挂了全公司断网。
这是目前安全界最热门的话题。简单来说：零信任是 VPN 的终结者和进化版。
"零信任"不是某个具体的软件，而是一种安全理念。 核心口号：“永不信任，始终验证” (Never Trust, Always Verify)。
以前 (VPN 时代)： 认为“墙内”是安全的，“墙外”是危险的。只要进了防火墙（连上 VPN），就是“自己人”，默认信任。
现在 (零信任 时代)*： 假设*内网也是“脏”的，到处都可能潜伏着黑客。 无论你在公司办公室，还是在星巴克，想访问任何一个系统（比如代码仓库、OA），都要经过严格的身份验证。
维度 传统 VPN 零信任 (ZTNA) 信任假设 边界防御：认为内网是安全的（城堡模型）。 无边界：认为所有网络都是不安全的（包括内网）。 访问权限 网络级：连上后通常获得整个网段的访问权。 应用级：仅授予对特定应用（如 Jira）的访问权，看不到其他资源。 暴露面 大：VPN 端口必须暴露在公网，易受 DDoS 攻击。 极小：应用隐藏在网关后，对外不可见（隐身模式）。 验证频率 一次性：登录时验证一次，之后一直保持信任。 持续验证：一直在后台检查你的身份、设备状态、地理位置。 用户体验 需手动连接/断开，切换网络容易掉线。 无感：通常集成在浏览器或轻量代理中，像访问公网服务一样丝滑。
VPN (城堡模式)*： 你要去皇宫办事。守卫在*皇宫大门查了你的腰牌。放行后，你可以在皇宫大院里到处溜达，甚至可能溜进皇帝的寝宫（如果你想干坏事的话）。
零信任 (酒店模式)： 你要去住酒店。
大门：保安不拦你，谁都能进大堂。
电梯：你刷卡，只能去你住的那一层（去不了总统套房层）。
房门：你只能开你自己的房间。
持续监控
阅读原文：原文链接
400 186 1886
