小企业选 VPN 要看哪些关键标准

网上关于小企业该选哪款 VPN 的建议，大多默认你有一位专职 IT 经理。现实中，五到三十人的团队里，老板往往还要兼职修打印机，几名员工带着笔记本和手机，在公司管不到的网络里办公。这篇文章写给这样的老板：帮你判断自己到底需要什么，给出一套一个下午就能打完分的标准，并把大家最不愿面对的几件事讲清楚，也就是新人入职、老员工离职和每月账单。

文中不点名任何产品，也不承诺任何效果。如果你想先弄明白公司自建网络和面向个人的应用有什么区别，可以先读 企业 VPN 与个人 VPN 的区别。这里只谈实操，并假设你这个月就要做出采购决定。

先写清楚 VPN 要干什么

最有用的一步不花钱：写一句以“我们需要 VPN，是为了……”开头的话。小企业的需求通常落在三类，每一类对应的产品完全不同。

1. 保护身处不可控网络的员工。 比如住酒店的销售、在咖啡馆做账的会计、在共享办公空间工作的设计师。目标是建立加密隧道，让网络运营方和同一网络里的其他人读不到传输内容。面向个人用户的 VPN 应用适合这项工作。
2. 从外部访问私有系统。 比如办公室里的文件服务器、只能在内网运行的财务软件、控制设备的工控电脑。目标是接入自己管理的网络，这属于企业 VPN 或网关的范畴，个人版应用提供不了。
3. 控制谁能看到什么。 比如财务部和实习生拥有不同权限，并留有谁在何时连接的记录。这是访问控制与审计问题，单纯的 VPN 往往不是合适的工具。如果这才是你的真实需求，请看 零信任与 VPN 有何不同。

不少团队想清楚之后发现，真实需求只有第一类。这是好消息，因为它最便宜、部署最快。如果你的答案是第二类或第三类，买个人版产品之前请先停一停，因为它做不到你期望的事。

一页纸需求清单

把下面的表格和你的员工名单对照着看，每行回答“是”或“否”，结果的规律会告诉你该往哪个方向找。

问题	如果是，你可能需要
员工是否会在咖啡馆、酒店或客户办公室使用 Wi-Fi？	笔记本和手机上的 VPN 应用
是否有系统只能在办公网络里使用？	接入自有网络的方案（企业 VPN 或网关）
是否需要知道谁在何时连接过？	自己管理的企业级权限控制与记录
是否有外包人员只需短期访问？	可单独撤销的短期权限
客户合同是否要求特定的安全措施？	让客户书面确认具体要求
员工是否用私人手机办公？	明确哪些应用和数据可以使用的规则

先数前两行的“是”，它们决定产品类型；其余几行决定你在账号和记录上要多谨慎。

值得打分的七项标准

有了候选名单后，对每个候选在下面七项各打 0 到 2 分。目的不是算得多精确，而是逼自己把每一项都认真看一遍。

1. 覆盖你真正拥有的设备。 把所有笔记本、手机、平板列出来，核对服务商是否为每种系统提供应用。如果团队里有两台 Windows 笔记本、三台 Mac，还有 iPhone 和安卓手机混用，四种平台都要覆盖。也要问清最低系统版本，公司里较旧的手机有时不在支持范围内。

2. 账号使用范围写得清楚。 有的服务商规定一个账号只给一个人用，有的允许一个家庭，有的允许一家公司。不要猜。条款没写的话就问客服，并保存书面回复。仅这一项就能避免日后的大多数纠纷。

3. 付款方式符合你的开支习惯。 自动续费的年付订阅对稳定的团队很省事，对季节性业务则是负担。到期自动结束的预付通行证适合项目期、旺季或试用阶段。想了解利弊，可以读 为什么选择不自动续费的 VPN。

4. 收据和账务凭证。 做账需要有明确日期和金额的收据，最好能写上公司名称。要确认服务商能否提供可下载的收据，以及能否开给企业而不是个人。

5. 真的找得到客服。 付款之前先测试：发一个售前问题，看多久得到回复，答复是否具体。售前就含糊其辞的服务商，付款后不会变好。

6. 在你的真实网络里是否稳定。 在两三台员工设备上安装，用一周，场景就是他们实际办公的网络。视频会议、共享盘、云端财务软件是最有说服力的测试。试用期或退款期能让测试更轻松，决定前先把两种安排都比较一下。

7. 宣传是否诚实。 对“让公司无懈可击”“完全匿名”“全面防护”之类的说法要保持警惕。VPN 只是其中一层防护。肯这么说明的服务商，比不肯说明的更值得信任。

把分数加起来。如果两家打平，就选条款更清晰的那家。

账号、入职与离职

小企业用 VPN 遇到的麻烦，多半不是技术问题，而是人员进出的问题。

尽量让每个人拥有自己的登录信息。 周五有位销售离职，你希望只切断他的访问，而不打扰其他四位同事。若共用一个账号，就得给所有人改密码，而且抄下旧密码的人手里依然有副本。

建一份简单的登记表。 一张表格就够：姓名、设备、开始使用日期、结束日期、批准人。每月花五分钟维护，出现异常情况时能省下大量沟通。

给员工写半页规则。 内容包括：什么时候开启 VPN（任何你不能控制的网络）、某个应用拒绝在 VPN 下运行时怎么办、遇到问题找谁。员工会遵守简短的规则，却往往不读冗长的规定。

准备离职清单。 员工离开时，按紧急程度依次收回 VPN、共享盘、邮箱和密码管理器的权限，并回收或清空公司设备。VPN 账号只是清单里的一项，不是整份清单。

如果服务商提供的是预付通行证，要记得通行证的天数是固定的。以 XPASS 为例，通行证从 VPN 账号创建时开始计时，登录信息只显示在购买者的 My Pass 页面，所以应指定公司里由谁负责购买，并通过安全的方式把登录信息转交给使用者，而不是发到群聊里。

每人到底花多少钱

价格页上的数字不是企业实际付出的成本。可以用下面的简单方法核算。

1. 只统计真正需要 VPN 的人，不是全体在册员工。
2. 找出你实际使用那段时间的价格，并包括续费时的价格。
3. 除以实际使用的月数。
4. 再加上付了钱却没用上的时间。

用虚构数字举个例子：团队六个人，其中两人常年出差，另外四人主要在办公室。如果年付方案每人 100 个单位，六个人合计 600。但真实情况是只有两位出差的同事需要全年保护，另外四人只在两个月的项目期需要，那么实际需求就是两个人全年，外加八个人月。只为需要的人、需要的时段购买较短的通行证，即使单月价格更高，总额也可能低于 600，因为不再为闲置时间付费。反过来，如果全员全年都在出差，长期方案反而更划算。

结论是：比较“实际使用每月的成本”，而不是宣传价。更完整的计算方法可以参考 VPN 应该花多少钱，XPASS 通行证的当前价格请看价格页面。

预付通行证何时适合小企业

并非每家企业都需要长期、随处的保护。预付通行证天数固定，一次付款，不会自动续费，适合以下几种情形。

• 项目团队。 三个人去客户现场驻场六周，按这段时间买通行证，到期自然结束。
• 季节性旺季。 旅游公司只在旺季雇导游。
• 承诺之前先试用。 给两名员工配一个月，再问问有没有带来不便。
• 偶尔出差的人。 老板一年飞两次，在家并不需要。

好处是没有人需要记着去取消；代价是到期后需要有人记得重新购买，所以应在登记表里设一个到期前两周的提醒。在 XPASS 提前续费，新增的天数会叠加在剩余天数之上，提前购买不会浪费已有的天数。

VPN 无法为企业做到的事

VPN 保护的是设备与 VPN 服务器之间的路径。下面这些它都做不到，如果采购决定建立在“它能做到”的假设上，最终会失望。

• 挡不住钓鱼。 一张逼真的假发票，经过隧道后依然逼真。员工需要学会识别可疑网站，并且在对方要求变更收款账户时通过电话核实。
• 替代不了可靠的登录验证。 先为邮箱、网银和云工具开启两步验证。美国 CISA 关于多因素验证的指引说明，哪怕只多一个验证步骤，也能挡住大部分账号被盗事件。基础知识可看 什么是两步验证。
• 不会替你更新软件。 没打补丁的笔记本是小企业出事最常见的原因。
• 不会替你备份文件。 勒索软件和误操作要靠经过测试的备份来解决。
• 不提供权限管理和审计记录。 这需要专门设计的系统。

NIST 关于远程办公与远程访问安全的指南是个很好的参照：它把 VPN 视为多项控制措施之一，终端安全与访问管理的分量同样重要。如果这个季度你只能做一项改进，两步验证通常比 VPN 更值。

三十天落地计划

下面是没有 IT 部门的企业也能照着执行的顺序。

1. 第 1 周：决定。 写下用途句子，填好需求清单，选出两家候选。
2. 第 1 周：测试响应。 向每家服务商发一个售前问题，问账号使用范围和收据，并记下回复用了多久。
3. 第 2 周：试点。 让两三名在不同地点办公的员工使用，请他们记录所有出问题的地方。
4. 第 3 周：复盘。 哪些应用表现异常？部分银行和支付类应用不喜欢 VPN 连接，所以要决定是让员工为这些应用临时关闭 VPN，还是在应用提供时使用分应用代理功能。
5. 第 4 周：正式推广。 逐人发放登录信息，发放半页规则，启用登记表，并为到期日设置提醒。

跳过试点是最贵的捷径。两个人在第二周发现的问题只是一条记录；同样的问题让十二个人在客户会议中遇到，就成了一次事故。

常见错误

• 为解决远程访问问题买了个人版 VPN，结果连不上办公室的服务器。
• 共用一个账号，员工离职时无法干净地收回权限。
• 按带佣金的排行榜选，而不是在自己的网络里实测。
• 项目只有六周，却付了整年的费用。
• 以为 VPN 可以代替两步验证和系统更新。
• 没有登记谁持有权限、何时到期。
• 没告诉员工网银应用打不开时该怎么办。
• 没读服务商关于商业用途的条款。

总结

小企业最合适的 VPN，是与你写下的那项工作相匹配的 VPN：保护身处不可控网络的员工、访问私有系统，或者控制访问权限。按设备支持、账号条款、付款方式、收据、客服、稳定性和宣传是否诚实来打分；用一人一账号加登记表管好人员进出；比较实际使用每月的成本，而不是宣传价。别忘了，VPN 只是一层防护，要与两步验证、系统更新和数据备份一起使用。

如果一份到期即止的短期通行证适合你的项目或试用期，可以随时看看 XPASS 价格页面，对照你的需求清单来判断。