家庭与小型办公室的站点到站点 VPN

手机上的 VPN 应用保护的是一台设备。但有些场景根本与某一台设备无关：一家人希望家里的照片存储能被城市另一头的父母家访问；一家小店希望收银系统能与店主家里的打印机和文件互通；一位设计师希望工作室网络和家庭办公室像在同一个地方一样工作。解决这些需求的工具就是站点到站点 VPN：一条把两个完整网络连在一起的隧道。

本文用通俗的语言解释这个概念，说明搭建之前应该规划什么，介绍主要的设计选择，并列出导致多数失败的错误。我们不会给出某款路由器的逐步配置，因为各家菜单差别很大。同时，我们要在一开始就讲明一点：站点到站点 VPN 与你为保护浏览而购买的 VPN 服务不是一回事，把它们混为一谈会白费功夫。

什么是站点到站点 VPN

设想有两个私有网络。家里的网络使用一段地址，办公室使用另一段。在互联网上，它们彼此独立，无法访问对方的私有设备。站点到站点 VPN 会在每个地点的路由器或防火墙之间建立一条加密隧道。此后：

• 办公室的笔记本可以用私有地址打开家里 NAS 上的共享文件夹。
• 家里的打印机可以在办公室使用。
• 两台笔记本都不需要运行任何 VPN 软件，由两端的路由器负责建隧道。
• 只有发往另一个站点的流量才走隧道，其他流量仍走普通互联网。

这两台路由器就是网关。每个网关知道两件事：对方站点的地址段，以及如何通过互联网到达对方网关。当数据包发往远端网络时，本地网关加密后经互联网发给另一个网关，对方解密并送达。IPsec 类隧道背后的原理可参见 NIST 关于 IPsec VPN 的指南，而 WireGuard 这类较新的轻量方案也能完成同样的任务。

它与其他 VPN 用法有什么不同

人们说“VPN”时，常常指三种很不一样的东西。

类型	连接的对象	典型用途
消费级 VPN 应用	一台设备连到服务商的服务器	保护公共 Wi-Fi 上的流量，避免本地网络窥视
远程访问 VPN	一台设备连到一个私有网络	员工拨入办公室或家里
站点到站点 VPN	一个完整网络连到另一个网络	两个地点共享设备和文件
Mesh VPN	许多设备互相直接连接	不必开放端口就能访问自己的设备（参见Mesh VPN 详解）

为消费级 VPN 服务购买的通行证属于第一行。它的设计是把你的设备连接到服务商，并不是把你的家和你的店连成一个网络。如果你需要后者，就要在自己的网关之间建立链路。关于商业 VPN 与个人 VPN 的区别，请看商业 VPN 与个人 VPN 对比；自建的利弊则见自建 VPN 与商业 VPN 对比。

动手搭建前要回答的问题

多数站点到站点故障源于省略了规划。请花一个晚上想清楚下面这些问题。

1. 哪些东西必须能访问？ 列出具体的设备：NAS、打印机、收银机、监控录像机。清单越短，设计越简单，防火墙规则也越严谨。
2. 谁在什么时候连接？ 一直在线的链路适合共用打印机的店铺；每周只用一次做备份的链路可以按需启动。
3. 哪些设备能建立隧道？ 许多路由器和防火墙支持某些隧道类型，而家用路由器往往不支持。检查两端的规格，看它们是否至少共同支持一种隧道技术。
4. 两端如何找到对方？ 至少一个网关要能从互联网访问。固定公网地址最省事。家庭宽带的地址经常变化，可以用动态 DNS 域名来解决，让域名始终指向当前地址。
5. 两端的地址段是否不同？ 这是最重要的规划事项，下一节专门讲。
6. 谁可以做什么？ 决定办公室是能访问家里的一切，还是只能访问 NAS，并把它写成防火墙规则。
7. 谁来维护？ 只有一个人懂的链路是风险，请做好记录。

地址规划：最常见的故障根源

家庭和小办公室网络几乎都使用 RFC 1918 定义的私有地址段。家用路由器常见的默认值是 192.168.0.0/24 或 192.168.1.0/24。如果你家和你的店都用 192.168.1.0/24，隧道就无从知道“192.168.1.20”指的是家里的打印机还是店里的收银机，路由就会出错。

整洁规划的原则：

• 每个站点使用自己的地址段，例如家里用 192.168.10.0/24，店里用 192.168.20.0/24。
• 先改地址段，再搭建，而不是搭建之后再改。事后修改意味着要改动所有使用固定地址的设备。
• 避开最常见的默认值，比如两端都用 192.168.0.x 或 192.168.1.x。许多访客网络和酒店也用这些地址，如果你以后再叠加一个远程访问 VPN，也会带来麻烦。
• 留有余地：如果将来可能增加第三个站点，现在就预留另一段地址。
• 写下来：一张列出站点名称、地址段、网关地址和用途的小表就够了。

如果两个网络中有一个无法重新编址，比如它属于房东，那么换一种设计，例如 mesh 工具或按设备安装软件，可能更简单。

可达性：公网地址、动态地址与运营商共享地址

两个网关必须能互相找到对方。

• 一端或两端有固定公网地址：最简单。拥有固定地址的一端等待连接，另一端负责发起。
• 公网地址会变化：使用动态 DNS 域名。许多路由器和防火墙能自动更新它。地址变化时请预留一两分钟的中断时间。
• 无法接收入站连接：有些运营商让大量用户处于共享地址之后，使用的是 RFC 6598 中描述的地址块。这样用户无法接收入站连接，两个这样的家庭之间无法直连。可选办法包括向运营商咨询公网地址、在有公网地址的地方放一台小型中继服务器，或使用通过协调服务来安排连接的 mesh 工具。
• 双重 NAT：如果你的网关位于运营商设备之后，需要把隧道端口转发给网关，或者把运营商设备设为桥接模式。相关概念见VPN 端口转发详解。

接收连接的一端只需开放隧道所用的端口，并且只限于隧道技术所需的范围。

路由和防火墙规则

隧道建立之后，还有两件事必须正确。

路由：每个网关都要知道对方站点的地址段要通过隧道到达。许多系统会在你定义允许的网络时自动添加；有些则需要手工添加静态路由。如果一端缺少路由，流量会发出去但回复回不来，看上去就是“隧道通了但什么都用不了”。

防火墙规则：把隧道当作一个新的网络接口。先不允许任何流量，然后只放行你在规划清单中决定的内容。例如：

• 店里到家里：只允许 NAS 的文件共享服务。
• 家里到店里：允许打印机和收银机的网页。
• 其他一切：在你自己的设备上阻断并记录。

这一点很重要，因为站点到站点链路连接的网络里可能有安全性较弱的设备：旧摄像头、智能电视、访客的手机。如果其中一个网络被攻破，完全敞开的隧道会给入侵者一条通往另一个网络的路。关于限制网络内部信任的现代观点，可参见零信任与 VPN 对比。

三个实际场景

同一家人的两处住宅：张家把家庭照片 NAS 放在自己家里，爷爷奶奶住在城市另一头。两台路由器之间的隧道让老人的平板可以用私有地址浏览 NAS。张家只允许老人这一侧使用文件共享。当老人家的互联网地址变化时，动态 DNS 域名让链路保持畅通。

小店与店主的家：小周开了一家烘焙店。收银系统在店里，账目表格在家里的电脑上。她把两个网络连起来，让家里的电脑可以读取店里共享文件夹里的每日销售文件，并用规则只允许访问那个文件夹。店里和家里的地址段不同，这是她在购买防火墙之前就规划好的。

有一间空房的工作室：两位设计师共享存放在工作室的项目文件。其中一位每周三天在家工作。站点到站点链路可行，但从她的笔记本发起一条远程访问连接更简单，因为只有一台设备需要访问工作室。选择更小的工具能节省维护成本。这也提醒我们：站点到站点是用来连接网络的，不是给一个人的笔记本用的。

常见错误

错误	后果	更好的做法
两个站点都用 192.168.1.0/24	路由混乱	搭建前给每个站点分配唯一的地址段
隧道里放行一切	一台薄弱设备会暴露两个网络	只放行列出的服务
忘记更新路由器固件	已知漏洞继续存在	定期更新两个网关
用消费级 VPN 订阅当链路	它无法连接你的网络	在你自己的网关之间建立链路
没有监控也没有记录	链路失效没人察觉	做好记录，并设置简单的状态检查
使用弱的共享密钥或重复的密码	隧道本身成为薄弱环节	使用足够长的随机密钥并保密
为了“测试”多开端口	攻击面变大	只开放隧道端口，并关闭测试规则

什么时候别的方案更合适

站点到站点链路很强大，但并不总是合适的规模。

• 一个人，一台笔记本：远程访问连接或 mesh 工具更简单。
• 会移动的设备：两栋楼之间的链路对机场里的手机毫无帮助，请在设备上使用应用。XPASS 客户可以使用免费的 VPNclient 应用，见下载页面，并用 My Pass 页面上的登录信息。
• 敏感的业务数据：承担法律或合同责任的企业，应当使用有专业支持的设备并寻求专业建议，而不是业余搭建。
• 偶尔传文件：一个保护得当的云共享服务可能比常驻隧道更简单。

同时要记住隧道做不到的事：它不能阻止钓鱼、恶意软件或密码被盗，也不能代替备份。如果共享文件夹是可写的，在一个站点删除的文件可能在另一个站点也消失。

总结

站点到站点 VPN 通过两个网关之间的加密隧道把两个私有网络连起来，让每一端的设备能访问另一端选定的设备。成功主要取决于规划：不同的地址段、至少一个可访问的网关、正确的路由，以及只放行所列内容的严格防火墙规则。它与手机上的 VPN 应用是不同的工具，消费级 VPN 订阅也不是搭建它的办法。如果需求更小，就选更小的工具。

如果你同时需要给自己的设备用一个简单的个人 VPN 通行证，可以随时查看价格页面。