需求拆解
- 內網：DHCP 服務器、文件服務器（同網段 172.x.x.x）
- 內網另有 192.168.x.x 段供終端使用
- 目標：外網（員工出差/居家）安全訪問文件服務器
- 限制：無路由器端口映射權限
核心結論
VPN 服務器必須有公網 IP 且端口可達。若無路由器端口映射權限，任何純內網方案都無法實現「外網主動訪問」。
可行路徑
1. 申請公網 IP + 端口映射（標準做法）
- 向網絡管理員/ISP 申請固定公網 IP
- 路由器配置：外部 1194/443/500 端口 → 內網 VPN 服務器 IP
- 防火牆放行相應端口
2. 雲端跳板機（無公網 IP 時）
[員工設備] --(Internet)--> [雲服務器 VPN Server] --(內網穿透/專線)--> [公司內網文件服務器]
- 雲服務器（阿里云/騰訊云）部署 OpenVPN / WireGuard / IPSec
- 公司內網部署客戶端（如 frp、n2n、ZeroTier）反向連接雲端
- 員工連雲端 VPN，流量經隧道進入內網
3. 零信任/SASE 方案（現代企業級）
- 採用 Cloudflare Zero Trust、Tailscale、Pomerium 等
- 無需公網 IP，客戶端直連最近邊緣節點，基於身份驗證授權資源
- 適合無運維團隊的中小企業
VPN 服務器選型對比
| 方案 | 優點 | 缺點 | 適合 |
|---|
| Windows RRAS (SSTP/IKEv2) | 原生集成，AD 域認證 | 配置複雜，僅限 Windows 客戶端友好 | 全 Windows 環境 |
| OpenVPN | 跨平臺，成熟穩定，支持雙因子認證 | 需額外簽發證書，TCP 模式性能一般 | 通用首選 |
| WireGuard | 代碼極簡，性能極高，現代加密 | 較新，部分舊設備不支持 | 追求極致性能 |
| IPSec (StrongSwan) | 標準協議，原生系統支持 | NAT 穿透配置繁瑣 | 網絡設備互聯 |
安全加固清單
- 強制雙因子認證（MFA）
- 證書/密鑰定期輪換
- 最小權限：VPN 客戶端只能訪問文件服務器 IP/端口
- 審計日志：記錄連接時間、用戶、訪問資源
- 閒置超時斷開（如 30 分鐘無流量）
若公司嚴禁任何外網暴露，唯一合規路徑是內網專用終端（如加密 U 盤/加固筆記本）物理帶出，或部署內網文件同步到受管雲存儲（如 Nextcloud 私有化）。
