SSL VPN 与远程接入

核心规则：外部访问必须通过 VPN 进入

一句话规则，没有例外空间：

外部访问内网，必须通过 VPN 进入。

这条规则要防的不是「高深的攻击」，而是一个很常见的偷懒决定：把 NAS 的管理端口或共享端口映射到公网，「反正有密码」。成品 NAS 的历史漏洞数量在所有联网设备里都排得上号——端口映射等于把一个「可能有洞的服务」直接放在互联网上，扫段机器人几小时内就会找到它。

VPN 把这道门关掉之后，剩下的问题是「VPN 自身够不够安全」，而不是「内网每个服务都在裸奔」。

选型：SSL VPN

推荐 SSL VPN，理由：

• 基于 HTTPS（443），穿透性最好——酒店、机场、手机热点的网络都不会拦
• 不需要客户端或浏览器插件即可工作，运维支持成本低
• 认证方式灵活，可以和 AD 账号、证书、双因子组合

部署上注意两点：

1. VPN 服务本身跑在管理区，不要跑在办公网段的某台 PC 上
2. VPN 账号与 AD 联动（后期目标）——「VPN 能进」等于「域账号有效」，离职当天全部收回，不存在「VPN 单独一套账号忘了删」的尾巴

收敛暴露面

VPN 解决了「远程怎么进」，但还有一层要做：别的东西不许被从外面摸到。配套动作：

• NAS 不映射任何端口到公网，外出人员一律走 VPN
• 出口网关只放行 DNS 与 HTTPS 出向（见区域防火墙）
• VPN 登录日志进 Wazuh——异地登录、异常时段登录是 VPN 日志里最常见的两类风险信号

认证强度

VPN 是「内网的侧门」，它的认证强度应该和正门（域控）看齐，而不是看齐「方便」：

场景	认证方式
日常办公	域账号 + 密码
高权限运维	域账号 + 密码 + 双因子
共享账号	禁止 —— VPN 登录记录必须能落到具体的人

双因子在 VPN 上的性价比最高：VPN 是唯一「从不可信网络进来」的通道，给它加一道，内网的其他入口压力都小一分。等 NAS 与后续服务联动完成，可以把「VPN + AD + 双因子」的组合固化下来，作为整个远程访问的标准姿势。