站点到站点 VPN 与客户端 VPN

VPN 主要根据连接对象分为两类。站点到站点 VPN 将整个网络连接起来，而客户端（远程访问）VPN 则将单个用户设备连接到网络。

二者都会建立加密隧道，但用途不同：前者用于连接办公室，后者用于让个人员工从任何地点安全访问网络。

站点到站点 VPN 会通过互联网连接两个完整的网络，例如总部和分支机构。隧道建立在两个站点的路由器或防火墙之间，这些设备称为 VPN 网关。

建立连接后，每个站点的设备都可以像处于同一网络中一样通信，而无需在单台设备上安装软件。网关会透明地处理全部加密工作。

在站点到站点配置中，站点 A 的每台设备都会将发往站点 B 的流量发送到本地 VPN 网关。该网关会加密流量，并通过隧道将其发送到站点 B 的网关；后者解密流量后，再将其交付到本地。

用户无需进行任何配置；网关之间始终保持连接的隧道，会让相距甚远的两个办公室感觉就像一个连续的 LAN。

客户端 VPN 会将一台设备连接到网络。用户运行 VPN 客户端软件，建立通往办公室 VPN 集中器或防火墙的隧道，并对用户个人身份进行验证。

这就是典型的居家办公配置：无论笔记本电脑位于世界何处，都可以通过隧道进入公司网络，并按需安全地访问内部资源。

主要区别如下：

• 站点到站点：网关到网关、始终启用、连接完整网络、无需为每台设备安装软件。
• 客户端：设备到网关、按需启用、连接单个用户、需要客户端软件。

永久连接不同地点时，请使用站点到站点 VPN；移动办公和远程个人用户则应使用客户端 VPN。

客户端 VPN 可以通过两种方式路由流量。全隧道会将设备的所有流量都通过 VPN 发送，包括普通网页浏览，从而最大限度地提高安全性和控制力。

分流隧道只会将发往公司的流量通过 VPN 发送，普通互联网流量则直接发出。分流隧道可以节省带宽，但会降低组织对用户普通流量的可见性和控制力。

拥有大量远程用户的组织会部署 VPN 集中器。这是一种专门用于同时终止大量客户端 VPN 隧道的设备，可以处理繁重的加密负载。

它会验证用户身份，为用户分配内部地址，并应用访问策略。该功能通常内置于防火墙中，作为所有远程工作人员的唯一安全入口。

站点到站点隧道通常使用预共享密钥或证书验证两个网关，因为端点是固定且受信任的设备。

客户端 VPN 必须验证个人用户的身份，因此依赖用户凭据、证书以及日益普及的多重身份验证，以确保每位远程用户在获得访问权限前确实是其声称的身份。

请根据连接需求进行选择：如果要将分支机构永久连接到总部，应使用站点到站点 VPN；如果要让员工在家中或出差途中安全工作，应使用客户端 VPN。

许多组织会同时使用两者：在办公室之间建立始终启用的站点到站点连接，并为移动办公和远程工作人员提供客户端 VPN 访问。

像 ZTNA（零信任网络访问）和 SASE（安全访问服务边缘）这样的新方法正在推动远程访问的发展。它们不会授予广泛的网络访问权限，而是验证每个请求，并仅将用户连接到特定的获准应用。

这些方法建立在 VPN 思想之上，但应用了零信任原则，授予最低权限访问，而不是让用户直接进入整个网络。

站点到站点 VPN 通过网关到网关的方式连接完整网络，始终启用且无需客户端软件，非常适合连接办公室。客户端 VPN 使用 VPN 软件按需连接单台设备，非常适合远程工作人员，并且可以使用全隧道或分流隧道。集中器负责处理大量客户端隧道，而 ZTNA 和 SASE 则使这种模式更加现代化。

测试您对 VPN 类型的掌握程度。

站点到站点 VPN 通过VPN 网关连接完整网络，始终启用且无需软件，适合连接办公室。客户端 VPN 使用 VPN 软件按需连接单台设备，非常适合远程用户，并支持全隧道或分流隧道。VPN 集中器负责终止大量客户端隧道，而 ZTNA/SASE 则使远程访问更加现代化。