VPN 访问控制：用户、用户组与权限怎么规划

企业选 VPN 时，人们通常先问隧道：用什么协议、速度多快、能连多少人。更重要的问题其实是：有人连上之后会发生什么？会计能访问开发人员的服务器吗？外包人员能看到整个办公网络吗？离职员工的账号还能用吗？这些问题就是访问控制，而在实践中，它们决定了 VPN 是一道坚固的门，还是一扇装了漂亮锁却没锁上的门。

本文是面向中小型机构的 VPN 访问控制实用指南。内容包括基本构件（用户、用户组和权限）、最小权限原则、如何分隔网络、如何处理入职、调岗和离职，以及怎样做权限复查才不至于变成一份全职工作。它写给为团队运行 VPN 的人，而不是为个人隐私使用 VPN 应用的人。如果你不确定自己属于哪种，请先看我们对企业 VPN 与个人 VPN的比较。

访问控制回答的三个问题

每一个访问决定都可以归结为三个问题，按这个顺序提出。

1. 你是谁？ 这是认证。系统检查密码、第二重验证、证书，或者它们的组合。
2. 你被允许连接吗？ 这是大门处的授权。它决定你的账号是否可以使用 VPN，以及从什么类型的设备使用。
3. 连接之后你能访问什么？ 这是网络内部的授权。它决定你的会话能接触哪些服务器、端口和应用。

许多小机构把第一件事做得差不多，对第三件事几乎什么都没做。结果就是一个扁平的网络：一个人进来之后，什么都能看到。这是公司 VPN 部署中最常见的一个弱点，它会把一台被偷的笔记本或一个被钓走的密码，变成全公司的问题。

好的设计因此把控制向内推进。它不止于“这个人能连接吗”，而是继续问“这个人能打开哪几扇门”。

从个人账号开始

基础很简单，却经常被跳过：每个人都有自己的账号。

• 没有共用登录。 一个叫“office”或“support”的共用账号，让你无法知道谁连接过，也无法在不影响所有人的情况下移除某一个人。
• 名字与真实的目录绑定。 账号应由人事和 IT 共同使用的同一份员工名单创建，这样 VPN 上不会有不属于团队现任成员的人。
• 管理员账号分开。 管理 VPN 的人日常工作用普通账号，只在做管理时才用单独的特权账号。
• 记录服务账号。 自己连接的机器，比如分支机构的设备，也需要账号。给它们窄范围的权限，并指定一位具名的负责人。

一份带有每个人角色的用户目录，是后面一切的唯一事实来源。如果你已经为邮箱和文档使用了身份系统，把 VPN 接入它可以省下大量重复的工作。

用组，不要一人一个权限

逐人设置权限，五个人时行得通，到二十个人就崩了。更好的模式是定义代表角色的用户组，把权限授予组，再把人放进组里。

小机构的典型用户组：

• 所有人：只能访问邮箱和聊天等公共服务。
• 财务：能访问会计系统和财务共享文件夹。
• 工程：能访问开发服务器和代码托管。
• 客服：能访问工单系统和客户工具。
• IT 管理员：能访问管理界面，通过单独的管理员账号使用。
• 外包人员：窄范围、有时限的访问，仅限一个项目。

有人入职时，你把他放进正确的组，他就拥有所需的一切。换岗时，你调整他的组。离职时，你把他移除，所有权限随之消失。这也让复查变得易读：检查五个组的清单，比检查上百条逐人规则容易得多。

应用最小权限

最小权限是指，只给每个组能完成工作所需的最少访问权限，不多给。在 VPN 里，这有三个实际层次。

网络层。 决定每个组能访问哪些子网或地址。财务可以访问会计服务器；它没有理由访问构建服务器。

端口与服务层。 即使在同一个网络中，也只开放需要的端口。需要用某个网页应用的组，不需要访问它背后的数据库端口。

时间与设备层。 有些访问可以只在工作时间、只从受管理的设备、或只在固定时段（比如项目周期）内允许。

背后的道理与 NIST 关于远程办公和远程访问的指南阐述的相同：把远程设备能访问的范围限制在必要的程度，并保护两端之间的链路。更完整的模型，即每一个请求都按自身情况进行检查，在 NIST 的零信任架构中有描述，而我们对零信任与 VPN的比较解释了它与传统 VPN 的关系。

一份权限矩阵示例

这样的矩阵值得写下来，哪怕是十个人的公司。它把“谁能访问什么”从一种感觉变成一份文档。

用户组	邮箱与聊天	文件共享	会计系统	开发服务器	工单系统	管理界面
所有人	可以	公共文件夹	否	否	否	否
财务	可以	财务文件夹	可以	否	否	否
工程	可以	工程文件夹	否	可以	否	否
客服	可以	客服文件夹	否	否	可以	否
IT 管理员	可以	按需访问全部	否	受限	可以	可以，通过管理员账号
外包人员	可以	自己项目的文件夹	否	仅限自己的项目	仅在必要时	否

注意这张矩阵说明了什么。没有人能访问一切。管理员那一行范围很宽，但依然不是全部开放，并且使用单独的账号。外包人员只能看到一个项目，而不是整个公司。每一个“否”，都是一扇被盗账号打不开的门。

在隧道内部分隔网络

当网络本身被划分后，用户组效果最好，因为组的权限对应着真实的边界。这叫作分段。一个适合小机构的简单模型：

• 通用段，用于普通办公服务。
• 财务段，用于会计系统和敏感文档。
• 开发段，用于构建服务器和测试环境。
• 管理段，用于网络设备和管理界面，只有一小部分人能访问。
• 访客与外包段，供外部人员使用，只能访问项目需要的内容。

然后 VPN 为每个组分配与其分段对应的地址范围或防火墙规则。如果外包人员的笔记本中了毒，恶意软件只能看到外包段。如果你同时让服务器保持补丁并受到监控，损失就限制在一小块区域内。

与风险相称的认证方式

只有密码是最弱的选择。VPN 是机构的前门，它的认证值得最多的关注。

1. 所有人使用多因素登录。 来自验证器应用或安全密钥的第二重验证，让被盗的密码用处大减。CISA 的多因素认证指南和我们关于双因素认证的文章解释了各种选择。条件允许时，优先选择应用或硬件方式，而不是短信。
2. 为受管理的笔记本使用设备证书，这样即使密码泄露，也只有你签发的设备才能连接。参见 VPN 证书如何工作。
3. 以长度为主的强密码规则，而不是强制频繁更换，这与 NIST 的数字身份指南一致。
4. 多次失败后的锁定和告警，让有人在账号被猜测时能注意到。
5. 敏感用户组使用较短的会话，让一台没锁的笔记本不会连续几天保持连接。

按组选择强度。访问范围窄的外包人员，也许只需要强密码加第二重验证。访问网络设备的管理员，则应当要求硬件密钥和受管理的设备。

入职、调岗与离职

大多数权限问题都出现在交接环节。一套简单、书面化的流程可以避免。

入职

1. 经理为一位具名的人员申请访问权限，并说明其角色。
2. IT 创建账号，把人加入对应的组，并发放第二重验证。
3. 新员工登记设备并测试连接。
4. 记录由谁在何时批准了访问权限。

调岗：当人员换团队时，在加入新组的同一天移除旧组。过去角色累积下来的权限，是某个安静的员工最终拥有远超任何人本意的访问权限的最常见原因之一。

离职：最后一天，停用 VPN 账号，撤销所有证书和令牌，并终止正在进行的会话。不要等到月底。离职人员的账号是热门目标，因为没有人盯着它们。

外包和临时人员：创建每个外部账号时就设定结束日期。到期后，除非有人主动续期，账号应自动失效。

日志、监控与定期复查

没人检查的访问控制会逐渐走样。请养成三个简单的习惯。

• 保留登录日志。 记录谁在何时、用哪台设备连接，并按你的义务要求保留相应的时间。不要保留超过需要的个人数据。
• 留意异常。 反复失败、不寻常时段的连接，或一个账号在短时间内从两个相距很远的地方登录，都值得查看。
• 每季度复查。 请每个组的负责人确认每个成员仍然需要访问权限。对权限范围广的账号，每月复查。移除任何没人能说明理由的权限。

复查不必很沉重。对大多数小机构来说，每个组一页清单、由经理签字确认就够了，同时会形成客户和审计人员欣赏的记录。

三个例子

十人规模的广告公司。 公司只有一个办公室路由器带 VPN，所有人共用一个登录。一台笔记本被偷后，他们发现无法确定该改哪些登录。他们改用带第二重验证的个人账号，定义三个组（员工、财务和外包），并把外包人员限制在一个项目文件夹。设置花了一个下午，每个季度的复查只需十五分钟。

三十人的软件公司。 开发者需要开发服务器，客服需要工单工具，财务有自己的系统。公司为每个划分了网络分段，并把组映射过去。管理员使用带硬件密钥的单独账号。一位开发者调到客服时，工程组在当天就被移除了。

有外聘专科医生的诊所。 来访的专科医生每周只需几个小时访问一个病历系统。他们没有得到完整的 VPN 访问，而是进入只包含该系统的外包组，配有第二重验证，账号在合同结束时过期。诊所能够精确地说明谁能访问患者病历，这对它自身的合规很重要。

要避免的错误

• VPN 后面是扁平网络。 大门有认证，内部却没有任何限制，就像一条所有门都敞开的走廊。
• 共用账号。 它们让责任无从追溯，也让离职处理一团糟。
• 只增不减的权限。 不做复查，权限就会堆积。
• 忘记服务账号和外包账号。 这些恰恰是没人注意的账号。
• 仅因密码正确就信任设备。 条件允许就检查设备。
• 用面向个人的 VPN 应用来做这件事。 面向个人的 VPN 服务保护的是一个人的流量，它不能让你决定机构里谁能访问哪个内部系统。为此你需要自己运行或为企业使用而购买的 VPN 或网关。

总结

访问控制决定公司 VPN 是一道坚固的大门，还是仅仅一条隧道。让每个人都有自己的账号，按角色把人组织进用户组，给每个组完成工作所需的最小访问权限，并划分网络，使权限对应真实的边界。用第二重验证保护登录，对受管理的笔记本再加设备证书。用书面流程处理入职、调岗和离职，保留登录日志，并按固定周期复查权限。

如果你也在为自己的出行或公共 Wi-Fi 使用考虑个人 VPN，价格页面说明了预付通行证如何运作，但请记住它保护的是你自己的流量，与你所在机构运行的访问控制是分开的。