远程访问公司内网的安全边界:个人 VPN 与企业 VPN 的分工
远程办公者常同时面对两个 VPN:公司发的(接入内网用)和自己买的(访问外网用)。它们的职责完全不同,理解分工与共存规则,既保效率也保饭碗。
两类 VPN 的职责分工
- 企业 VPN:把你的设备“拉进”公司内网,访问数据库、代码库、内部系统——它是准入凭证,流量受公司监控是默认设定;
- 个人 VPN:把你的公网流量加密并改变出口——它是隐私与访问工具;
- 一句话:企业 VPN 向内,个人 VPN 向外,不是竞争关系。
共存的技术要点
- 同时全局开启两个 VPN 通常会路由冲突,表现为内网通了外网断、或反之;
- 推荐配置:企业 VPN 多数只声明内网网段的路由(split tunnel),此时个人 VPN 管其余流量,两者可以和平共处;实测验证内网地址与外网地址是否都可达;
- 冲突解不开时按任务切换:办公时段企业 VPN,其余时段个人 VPN;
- Linux 下用策略路由可以做精细分流,思路见 Linux 配置指南。
合规红线
三条不要碰:不要把公司内网流量导入个人 VPN(数据出境路径变更可能违反安全政策);不要在公司设备上未经许可安装个人 VPN,设备政策问题有专文;不要用个人环境绕过公司的访问审计。远程办公的信任基础是可审计性——个人隐私用个人设备保护,公司数据按公司规则流动,边界清晰对双方都好。整体的远程办公网络方案见这篇指南。
先画清自己的流量地图
处理双 VPN 问题的第一步不是调设置,而是搞清楚自己的流量究竟分几类、各自该走哪条路。远程办公者的日常流量至少有三类:一是内网流量,数据库、代码库、内部系统,必须走企业 VPN;二是涉外公网流量,查文档、用海外工具、访问开源仓库,适合走个人 VPN;三是普通国内流量,视频网站、聊天购物,直连最快。三类流量对应三个出口,冲突的根源就是它们在你的设备上抢同一张路由表。
花十分钟把自己常用的服务按这三类列成清单,后续所有配置都围绕这张地图展开:哪些域名或网段必须进隧道 A,哪些走隧道 B,哪些直连。地图画清了,配置只是照图施工;地图不清,再多技巧也是碰运气。
双 VPN 共存的排查与配置步骤
- 第一步:只开企业 VPN,记录此时内网系统与外网网站的可达情况,搞清它是全隧道(全部流量进公司)还是分割隧道(只管内网网段);
- 第二步:只开个人 VPN,确认外网访问正常,记录客户端使用的虚拟网卡名称,为后面判断冲突做准备;
- 第三步:先连企业 VPN、再连个人 VPN,测试内网地址与外网网站是否都可达,这个顺序下成功率最高;
- 第四步:出现一方不通时,交换两者的连接顺序再测一轮,并记录每种组合的结果,冲突多为路由优先级问题,顺序经常是关键变量;
- 第五步:企业 VPN 是全隧道模式的,不要尝试用技术手段绕开,直接采用分时方案:办公时段企业 VPN、其余时段个人 VPN,合规永远优先;
- 第六步:确定可用组合后,在真实工作场景里跑一整天:拉代码、连数据库、开视频会,全部顺畅才算配置完成;
- 第七步:把最终配置与连接顺序写成自己的操作手册,系统更新或客户端升级后路由行为可能变化,照手册五分钟即可复原。
双 VPN 冲突的故障速查表
两条隧道并存时的故障表现五花八门,但根源集中在路由与 DNS 两处,对照下表能省去大量盲试。
| 现象 | 原因 | 解决方法 |
|---|---|---|
| 内网系统通,所有外网打不开 | 企业 VPN 是全隧道,接管了默认路由 | 不要绕过,改用分时切换方案;或申请公司开通必要的外网出口 |
| 外网正常,连数据库超时 | 个人 VPN 抢占了默认路由,内网网段被带偏 | 先连企业 VPN 再连个人 VPN;确认企业客户端声明的内网路由仍在路由表里 |
| 两个都显示已连接,却都时通时断 | 两个客户端在互相重写路由表 | 换连接顺序;错开使用;此路不通时接受分时方案,稳定比全都要更重要 |
| 内网域名解析不出来,IP 直连却可以 | DNS 查询被个人 VPN 劫走,公司内部域名无法解析 | 在系统里把公司域名后缀指向企业 VPN 下发的 DNS;或断开个人 VPN 后重连企业 VPN |
| 视频会议卡顿,其他一切正常 | 会议流量绕了两层隧道,延迟叠加 | 确认会议软件走哪条隧道;把它调整到直连或个人 VPN 单层通道 |
三种共存策略的适用对比
共存不是只有一种做法,三种策略按复杂度递增,按需选择。
| 策略 | 配置难度 | 体验 | 适合人群 |
|---|---|---|---|
| 分时切换:办公连企业,下班连个人 | 零难度 | 切换略繁琐,但零冲突 | 所有人的保底方案,企业全隧道环境的唯一合规解 |
| 双开共存:依赖企业端分割隧道 | 中等,需按步骤验证 | 一次配好后基本无感 | 企业客户端只声明内网路由的多数场景 |
| 设备隔离:办公设备与个人设备物理分开 | 低,但需要两台设备 | 最干净,合规风险最低 | 有备用设备的用户,以及对边界要求严格的行业 |
双 VPN 场景高频问答
- 问:个人 VPN 会不会看到我的公司数据?答:配置正确时不会——内网流量走企业隧道,根本不经过个人 VPN;这也是反对把内网流量导入个人隧道的原因之一,数据出境路径变更既是安全问题也是合规问题;
- 问:公司能看到我个人 VPN 里的流量吗?答:在你自己的设备上,走个人隧道的流量对公司网络是密文;但在公司设备上,终端管理软件工作在系统内部,加密隧道防不了它,个人事务留在个人设备处理才是正解;
- 问:虚拟机方案值得折腾吗?答:对开发者值得:虚拟机里跑企业 VPN 专管内网,宿主机跑个人 VPN 管其余,隔离干净且互不干扰,代价是内存占用与一次性配置成本,基础概念不熟的先补一下VPN 的工作原理;
- 问:家里路由器上跑个人 VPN,会影响企业 VPN 吗?答:多数情况可以共存,企业隧道会在路由器隧道内部再建一层加密,性能略有损耗但边界清晰;视频会议卡顿时优先怀疑双层隧道的延迟叠加;
- 问:Mac 和 Windows 在双 VPN 表现上有差别吗?答:有。两个系统的路由优先级与 DNS 处理逻辑不同,同一组合在两台电脑上表现可能不一样,分别按各自的Mac 配置指南与Windows 配置指南验证,不要互相套用结论。
按岗位角色定制边界策略
不同岗位面对的边界问题浓度不同,策略应当分档。普通职员的场景最简单:偶尔连内网查个系统,大部分时间是公网办公,分时切换方案完全够用,不必研究路由细节,把精力花在“不越线”上:公司设备不装未经许可的软件,个人设备不存公司敏感数据,两句话就是全部合规要点。开发与运维人员则几乎注定与双隧道长期共处:数据库连接要低延迟、代码仓库分内外、还要随时开会,建议把双开共存方案一次配置到位,并养成变更前快照路由表的习惯,排障时有对照,效率翻倍。
技术负责人和团队管理者可以再进一步:与其让每个成员各自摸索,不如把团队的流量地图、推荐配置与红线清单写成一页纸的内部规范,新人入职当天发放。远程团队的网络事故,九成出在“不知道边界在哪”而不是“故意越界”,一页纸的规范是性价比最高的安全投资。个人层面的原则不变:企业隧道内的行为默认可审计,个人隐私的主场在个人设备与个人隧道,两个世界分得越清,两边就都越安全。
