企业远程接入怎么选：站点到站点与远程访问的选型思路

企业里常见的 VPN 需求有两类：员工在家或出差时访问公司内网，以及两个办公室、机房之间的网络互通。前者叫远程访问（remote access），后者叫站点到站点（site-to-site）。两者的拓扑、认证对象和路由方式都不同，选错会把身份和权限混在一起。

两种拓扑的本质差异

远程访问连接的是“人”：设备地址是动态的，必须认证用户或设备身份，网关给客户端分配一个隧道地址并推送路由。站点到站点连接的是“网络”：两端网关天生固定，用证书或密钥认证设备，路由是静态或动态配好的，终端设备不需要安装客户端。

两类场景常用哪些协议

远程访问常用 OpenVPN、带 EAP 的 IKEv2，或者 WireGuard 再加一层用户管理；站点到站点常用 IPsec 和 WireGuard，需要动态路由时还会叠加 GRE 或 BGP。协议选择其实是第二步，第一步是先确定拓扑。

选型四步

先确认是谁在连接（人还是网络），再确认需要访问的网段或服务，然后选协议和认证方式，最后按最小权限设计访问控制。顺序不要颠倒：先选协议再反推需求，往往会把权限设计成“连上就能访问一切”。

两种拓扑的维度对照

常见的坑

两地网段重叠怎么办

两个办公室都用了 192.168.1.0/24，路由会直接冲突。最彻底的方法是重新规划地址；不能改时，在网关上做一对一的网段映射（NETMAP），把对方网段映射成另一个不冲突的地址范围再互通。

为什么不要把整个网段都放通

隧道建立后，默认放通整个内网意味着任何一台被攻破的设备都能横向移动。应当在网关防火墙上按用户组或分支机构限定可以访问的服务和端口，和隧道本身的加密是两层不同的保护。

多个分支怎么组网：星型还是全互联

星型（hub-and-spoke）结构简单，所有分支只和总部建隧道，管理成本低但分支之间的流量要绕行总部；全互联延迟更低，但隧道数量随分支数平方增长。分支较少时用全互联，较多时用星型加动态路由。

认证与审计的基线

远程访问建议强制多因素认证，并把账号和证书的吊销流程写进离职清单。站点到站点要定期轮换密钥或证书，并把连接建立、断开和路由变化的日志送到集中日志系统，方便事后排查。