根據 NIST SP 800-113（SSL VPN 部署指引）的定義，SSL VPN 由一台或多台用戶可連接的 VPN 設備（閘道）組成，用戶端與閘道之間的流量以 SSL/TLS 協定加密。閘道通常部署在企業網絡邊界（防火牆本身或其後方），對外只開放 HTTPS 所用的 TCP 443 埠。用戶連線時先經過身份驗證（帳號密碼、數碼證書、多因素認證等），閘道再按存取政策決定該用戶可以到達哪些內部資源。
現代 SSL VPN 實際使用的加密協定是 TLS（Transport Layer Security，現行版本 TLS 1.3 由 RFC 8446 定義），「SSL」一名沿用自其前身 Secure Sockets Layer；舊版 SSL 協定本身已被淘汰，不應再啟用。
| 項目 | Portal（入口網站）模式 | Tunnel（隧道）模式 |
|---|---|---|
| 客戶端要求 | 標準瀏覽器即可 | 需輕量客戶端或瀏覽器外掛 |
| 存取方式 | 登入網頁入口，逐一開啟獲授權的內部應用 | 建立網絡層隧道，本機應用程式直接經 VPN 通訊 |
| 支援應用 | 以網頁化應用為主 | 任何 IP 應用（遠端桌面、檔案分享、內部系統客戶端） |
| 存取控制粒度 | 細，按應用逐項授權 | 按網段／地址／埠號授權 |
| 適合對象 | 臨時存取、外判商、只需個別系統的用戶 | 需要完整內網存取的員工 |
多數企業防火牆同時提供兩種模式，可按用戶角色分配：權限敏感的外部人員行 Portal 模式收窄範圍，內部員工行 Tunnel 模式方便日常工作。
使用標準 443 埠，在酒店、公共 Wi-Fi 等限制性網絡環境仍可連線；IPsec 所需的 UDP 500/4500 及 ESP 協定則較常被攔截。
毋須為每台裝置預先安裝及設定完整 VPN 客戶端，新用戶開通快，適合流動辦公與自攜裝置場景。
可按用戶、群組、應用逐項授權，配合最小權限原則，比傳統全網段開放的接入方式風險更低。
站對站（分公司互連）場景仍以 IPsec 為主流；SSL VPN 閘道直接面向互聯網，必須嚴格管理修補程式與認證強度。
SSL VPN 閘道是攻擊者眼中的高價值目標：它對外可達、掌握內網入口，近年多個主流廠商的 SSL VPN 漏洞先後被大規模利用。工程實務上應做到：一、韌體與修補程式保持最新，訂閱廠商安全公告；二、強制多因素認證，杜絕僅憑密碼登入；三、按最小權限原則限制每個用戶可達的內部資源；四、只啟用 TLS 1.2 或以上版本與強加密套件；五、開啟登入日誌與異常警報，定期審視存取記錄；六、已停止支援（End of Support）的設備必須更換，不可繼續對外服務。
本文核對資料：NIST SP 800-113；RFC 8446（TLS 1.3）。
不確定如何應用於實際環境？我們的工程師可按現場情況提供建議，免費解答及報價。
WhatsApp 即時查詢我們的工程師可按公司規模與遠端存取需求選型防火牆、規劃 SSL VPN 與多因素認證，並提供後續維護支援，歡迎查詢及免費報價。
WhatsApp 免費報價 →若閣下正計劃相關工程或需要選購設備，歡迎瀏覽網絡工程服務了解方案詳情，或透過網上快速報價與我們的工程師聯絡。
產品規格以原廠最新文件為準；有需要請聯絡我們工程師。