企业 VPN 与个人 VPN：有什么区别？

“VPN”这个词其实指两种很不一样的产品。一种是个人购买的服务，用来在咖啡馆 Wi-Fi、酒店或旅途中保护自己的连接；另一种是公司用来把员工和办公室连接到私有系统的基础设施。两者的基本思路相同，都是加密隧道，但用途不同，管理方式也不同。

本文用通俗的语言说明二者的区别：个人 VPN 和企业 VPN 各自做什么，远程访问和站点到站点 VPN 如何工作，访问控制是什么意思，以及小型企业或居家办公的人该如何考虑选择。XPASS 是一项个人 VPN 服务，凡是与此相关的地方，本文都会如实说明。

简短的回答

个人 VPN 面向一个人的连接。你安装应用并连接，流量经过加密隧道到达 VPN 服务器，然后才进入互联网。它的主要作用，是在你所用的网络上保护你不被同网络的其他人窥视，并改变网站看到的地址。想了解基础知识，请从 VPN 是什么开始。

企业 VPN 面向组织。它让员工或办公室安全地访问公司自己的系统，例如文件服务器、内部网站、数据库、打印机，以及不对公开互联网开放的应用程序。管理员决定谁能连接、每个人能访问什么，以及访问如何被记录和撤销。

简单地说：个人 VPN 保护的是你通往互联网的路，企业 VPN 保护的是你进入公司的路。

个人 VPN 用来做什么

个人 VPN 适合这样的情形：风险落在你自己身上，而网络又不属于你：

• 在咖啡馆、机场和酒店使用公共 Wi-Fi。
• 在家庭网络上增加一层隐私保护。
• 旅行时保护自己。
• 减少本地网络能看到的、你所访问网站的信息。

一切都由你自己管理：何时连接、用哪台设备、如何解读结果。背后没有管理员，没有组策略，也没有共享的用户目录。这种简单正是它的价值所在，同时也是它的局限：个人 VPN 不会给你一条通往任何公司网络的私有通道。

企业 VPN 用来做什么

企业 VPN 解决的是另一个问题：如何让合适的人进入私有系统，同时又不把这些系统暴露给整个互联网。主要有两种设计，彼此差别很大。

远程访问 VPN

远程访问 VPN 把单个用户连接到私有网络。在家或出差的员工启动 VPN 客户端，用公司账号登录，设备随后被视为处于公司网络中，权限范围由管理员设定。NIST 关于远程办公和远程访问安全的出版物（SP 800-46）讨论了这种模式的规划与控制措施，包括认证、设备安全以及应暴露哪些资源。

主要特点：

• 个人账号，与公司的用户目录绑定。
• 强认证，通常采用多因素认证。参见我们的双重认证一文，以及 CISA 关于不要只依赖密码的指南。
• 访问策略，规定连接后用户能访问什么。
• 常可选择分流或全流量隧道，这一取舍在我们的分流（split tunneling）一文中有介绍。

站点到站点 VPN

站点到站点 VPN 把两个完整的网络连接起来。总部与分支机构，或公司网络与云网络，通过一条永久的加密隧道相连，每个地点的设备都像在同一个网络中一样访问对方。没有人需要在笔记本电脑上启动任何东西。隧道配置在两端的路由器或防火墙上，通常使用 IPsec，RFC 4301 对其有描述，NIST 的 IPsec VPN 指南（SP 800-77）也有涵盖。

那么家庭场景的站点到站点 VPN 呢？同样的技术有时用于把家庭办公网络连到公司网络，或连接两个家庭的网络，比如为了访问文件服务器或监控系统。这需要两端都有兼容的路由器或防火墙、谨慎的配置以及持续的维护。它是一个网络工程项目，而不是下载一个应用就行，与订阅个人 VPN 完全是两回事。

远程访问与站点到站点对比

	远程访问 VPN	站点到站点 VPN
谁或什么在连接	单个用户的设备	两个完整的网络
在哪里配置	设备上的客户端应用	每个地点的路由器或防火墙
何时处于活动状态	仅在用户连接期间	通常始终开启
典型用途	员工在家或出差办公	总部与分支、办公室与云
由谁管理	公司管理员	网络管理员

企业 VPN 与个人 VPN 对比

方面	个人 VPN	企业 VPN
主要目的	保护你自己的流量，改变网站看到的地址	让员工或站点安全访问公司私有系统
谁来运营	服务商和你自己	公司管理员或 IT 服务商
账号	一个人的登录	与公司目录绑定的多个账号
访问控制	登录之外无需更多	规定谁能访问哪些系统
认证	用户名和密码，有时更多	通常是多因素，并与公司身份绑定
报告	用户几乎看不到	常有用于审计的连接记录
典型部署	安装应用并连接	经过规划的部署、策略和入职培训
费用模式	按人或按套餐	按用户、按站点或按设备，通常含支持
出问题谁负责	你和服务商	公司及其 IT 人员

VPN 访问控制详解

访问控制是企业 VPN 与个人 VPN 的分水岭。它是一套规则，回答两个问题：谁可以连接？进来之后能访问什么？

良好的做法，与 NIST 的远程访问指南相呼应，通常包括：

1. 个人身份。 每个人都有自己的账号，绝不共用，这样活动和访问都能与具体的人对应。
2. 最小权限。 用户只能访问其角色所需的系统，而不是整个网络。会计不需要访问工程部门的服务器。
3. 强认证。 远程访问只靠密码是不够的。增加第二个因素，可以大幅降低被盗密码让入侵者进门的可能性。
4. 网络分段。 把网络分隔开，这样一部分被攻破时，其余部分不会自动敞开。
5. 设备检查。 有些组织要求连接的设备必须是最新的或受管理的。
6. 及时撤销。 有人离职时，要尽快移除其访问权限。
7. 审查与记录。 管理员保留访问记录，以便调查事件和审计权限。

个人 VPN 不需要其中的大部分，因为它不会把你连接到任何人的私有系统。这也是它无法替代这些措施的原因。

小型企业的最佳 VPN：该看什么

小型企业常问哪个 VPN 最好。没有唯一的答案，排行榜也不是好的向导。更好的办法是从自己的需求出发。

首先，问问自己到底需不需要 VPN。 如果你的文件、邮件和工具都在信誉良好的云服务上，那么主要的保护手段是强密码、多因素认证和设备更新，VPN 可能增加不了多少。如果你有办公室服务器、网络存储、内部系统，或必须远程访问的设备，那么企业远程访问方案就有意义。

如果需要，就按实际的标准评估各种方案：

• 访问控制。 能否创建用户组并限制谁能访问什么？
• 认证。 是否支持多因素认证以及你现有的身份系统？
• 管理。 能否在几分钟内添加和移除用户？是否有集中的管理后台？
• 清晰的安全文档。 是否说明了所用的加密与协议？
• 支持。 周一早上出问题时，有没有人可以联系？
• 扩展性。 当团队从五个人增长到二十个人时，它还能用吗？
• 成本。 比较总成本，包括部署、按用户收费和支持。
• 与政策相符。 是否符合你所拥有的合同、保险或合规要求？

那么个人 VPN 在小团队里处于什么位置？坦率地说，它是另一种工具。在公司政策允许的前提下，它可以帮助单个员工在公共网络上保护自己的流量，但它不提供受管理的访问、集中控制，也不提供通往办公室的私有通道。独自工作、没有共享系统的自由职业者，也许发现出差时只需要个人 VPN；拥有共享系统的团队则不够。

各自适用的场合：四个简短场景

独立自由职业者。 小米用自己的笔记本电脑和云工具，在咖啡馆和共享办公空间工作。出行时使用个人 VPN 是合理的选择。她没有需要连接的公司网络。

五人办公室。 一家小型设计工作室把项目文件放在办公室的共享服务器上。团队需要带个人账号和多因素认证的远程访问方案。给每个人买一份个人 VPN 套餐，并不能让他们访问那台服务器。

出差的员工。 老汤有一个用于工作系统的公司 VPN。在酒店 Wi-Fi 上，他遵守公司政策，工作时连接公司 VPN。在同一网络上做个人浏览时，个人 VPN 或许能增加保护，但他会先查看政策，因为同时运行两个 VPN 可能产生冲突，有些雇主也明令禁止。

家庭办公室互联。 小雅想让自己家的网络访问亲戚家里的存储设备。这属于站点到站点的范畴：需要支持该功能的路由器，也需要有人来配置。个人 VPN 应用做不了这件事。

常见错误

• 把个人 VPN 当作公司访问方案。 它保护的是道路，而不是目的地。
• 整个团队共用一个账号。 这样就没有了问责，也无法做到分别撤销权限。
• 远程访问时跳过多因素认证。
• 让每个人访问所有东西。 最小权限原则是有道理的。
• 以为 VPN 能解决弱密码或钓鱼。 它不能。
• 员工离职时忘记撤销访问权限。
• 未核对政策就叠加使用 VPN。 两条隧道可能冲突，有些工作场所禁止在工作设备上使用个人 VPN。我们的远程办公页面讨论了个人该如何考虑这个问题。

局限与注意事项

• 本文是一般性的科普，不是针对任何具体企业的安全或法律建议。
• 标准会变化。请查阅 NIST 等来源的最新指南，以适应你的情况。
• VPN 本身不会让任何系统“安全”，它只是众多控制措施中的一项。
• 如果你的企业处理受监管的数据，请在选择远程访问方案之前咨询具备资质的专业人士。

小结

个人 VPN 保护一个人的上网连接，主要用于他无法掌控的网络。企业 VPN 通过面向个人的远程访问或网络之间的站点到站点连接，把员工和站点连到公司私有系统，并增加了访问控制、集中管理与问责。它们是为不同工作而设的不同工具。小型企业应先判断自己是否需要私有访问，再选择专为此打造的方案。

XPASS 是一项个人 VPN 服务。如果你是个人用户，想在公共网络上获得固定天数、不自动续费的保护，定价页面说明了预付套餐的运作方式。