什麼是遠程接入VPN？

運作原理

根據 Wikipedia 的 Virtual private network 條目，遠程接入 VPN 的典型架構是「主機對網絡」（host-to-network）：單一裝置經公共互聯網連接至機構網關，經驗證後取得內部網絡的存取權，效果等同該裝置直接接駁在公司的內部網絡。具體流程是：員工在裝置上啟動 VPN 客戶端，客戶端與公司防火牆（VPN 網關）進行身份驗證並協商加密參數，成功後建立加密隧道，裝置獲派一個公司內部 IP 地址，此後所有進出公司資源的流量都在隧道內加密傳輸，即使途經家居寬頻或公共 Wi-Fi 也無法被竊聽或篡改。

協定方面，現時企業防火牆主要提供兩種選擇：基於 TLS 的 SSL VPN，以及基於 IKEv2 的 IPsec 客戶端模式，兩者的詳細比較可參閱IPsec VPN 與 SSL VPN 有何分別一頁。美國國家標準與技術研究院在 NIST SP 800-46 Rev.2《Guide to Enterprise Telework, Remote Access, and Bring Your Own Device (BYOD) Security》中提醒，機構應假設遠程工作所使用的外部網絡環境不可信任，因此遠程存取通訊必須加密，並配合裝置與帳戶層面的多重保護措施。

遠程接入 VPN 與站點對站點 VPN 比較

兩者並非二選一：常見的企業配置是分行之間以站點對站點 VPN 常設互連，同時開放遠程接入 VPN 供員工在辦公室以外使用，兩套機制在同一台防火牆上並行運作。

香港企業的常見應用場景

部署遠程接入 VPN 的實務步驟

1. 確認網關與線路——選用支援 SSL VPN 或 IPsec 客戶端的企業防火牆，公司寬頻最好有固定 IP，否則配合 DDNS。
2. 規劃帳戶與驗證——為每位員工建立獨立帳戶並強制多重身份驗證（MFA），嚴禁多人共用同一帳戶。
3. 設定存取權限——按部門劃分可存取的內部網段與應用，遵循最小權限原則；決定採用全隧道還是分割隧道模式。
4. 裝置安全要求——要求連入裝置安裝防毒軟件並保持系統更新，可利用防火牆的端點檢查功能作合規驗證。
5. 測試與教學——在辦公室外的真實網絡（家居寬頻、流動數據）測試連線，並向員工提供簡明的安裝與登入指引。
6. 日誌與檢討——開啟連線日誌，定期審視登入紀錄與帳戶清單，員工離職即時停用其 VPN 帳戶。

權威資料依據

本文核對資料：RFC 7296；NIST SP 800-77 Rev. 1。

常見問題

延伸閱讀