跨境远程办公与 VPN：要问清的安全问题

过去，远程办公意味着家里的空房间或者餐桌。现在它常常意味着另一个国家的出租公寓、一座从没去过的城市里的共享办公室，或者跨越两个时区的火车。工作没变，风险却不同了：每隔几天换一个新网络，借用的桌子，在异国出租车上丢了笔记本，或者客户问你上个月他们的数据是在哪里处理的。

几乎每次谈到这个话题，VPN 都会被提起，而且往往被当成万能药。其实不是。它只是一个工具，只保护整体图景中的一部分，而且在更难的问题已有答案之后，才发挥得最好。本文列出跨境远程办公前后需要理清的安全问题，说明个人 VPN 在哪里真正有帮助，又在哪里不能。本文是一般性信息，不构成法律、税务或移民方面的意见。如果你想了解选购角度，请看适合远程办公的 VPN，本文则专注于围绕它的那些问题。

问题一：谁来规定你可以在哪里工作？

在考虑工具之前，先弄清谁说了算。通常有三方有发言权。

• 你的雇主或客户。 劳动合同、安全政策和客户协议常常规定工作可以在哪里做、用哪些设备、通过哪些连接。有些客户限制从特定国家以外访问其系统，或要求先获批准。
• 你所在的国家。 当地法律可能影响你如何工作、数据如何处理，以及你的签证是否允许你在那里工作。规定因国而异，也会随时间变化。
• 你来自的国家。 税务居民身份、社保和职业义务可能会跟着你走。

VPN 改变不了这些答案。如果它让你的访问对雇主的系统显得异常，或者隐藏了政策要求必须可知的真实位置，它甚至可能制造新的麻烦。建议先书面询问：“我计划在这几个日期之间在某国工作，我需要做什么，可以使用什么？”

问题二：雇主是否已经提供 VPN 或访问工具？

许多公司为员工提供了受管理的内部系统访问方式。它可能是传统的公司 VPN、零信任访问工具、虚拟桌面，或者仅仅是带强认证的单点登录。这些区别很重要，零信任与 VPN 一文讲了这些模式在实践中如何不同。

如果雇主提供了，安全的操作顺序是：

1. 公司的工作用公司的工具。 它是为他们的系统、日志和政策设计的。
2. 未经询问，不要在上面再叠一个 VPN。 一台设备上的两层隧道可能冲突、中断连接，或者对雇主依赖的安全工具隐藏活动。
3. 询问是否允许在共享网络上搭配个人 VPN， 例如在单独的用户配置文件里做个人浏览。
4. 清楚求助渠道。 如果公司工具在国外失灵，应该联系谁，在你的时区几点能联系到？

受管理的公司工具与个人工具的区别，见企业 VPN 与个人 VPN。简单说，企业 VPN 把你连到某个组织的网络，而个人 VPN 把你连到通用的 VPN 服务器，在本地网络上保护你的流量。

问题三：你处理的是什么数据，允许它去哪里？

工作数据并不等价。可以分成三类来想。

类别	例子	通常的注意事项
公开或低敏感	营销草稿、公开文档	一般良好习惯
内部	计划、内部聊天、未发布的路线图	公司工具、多因素认证、加密设备
受监管或客户保密	医疗、金融、客户个人数据、已签保密协议	严格遵守合同与政策，出国办公前先询问

第三类正是跨境办公变复杂的地方。有些合同规定数据只能在特定地点访问，或只能在公司管理的设备上访问。一些行业规定限制了可以查看记录的地方。个人 VPN 满足不了这些要求，甚至可能让证明合规更困难。正确的做法是去问并得到答复，而不是猜。

问题四：你实际使用的网络有多安全？

不同的办公场所风险各异，请老实地排个序。

• 你租的公寓。 如果房东允许，你可以控制路由器，但你不知道上一位租客是怎么设置的。能改就改一下 Wi-Fi 密码，或者使用自己的旅行路由器或手机热点。
• 共享办公空间。 你与许多公司共用一个网络。好的空间会分开访客网络和会员网络，但你无法验证。请当作共享网络对待。
• 咖啡馆、酒店和机场。 经典的公共 Wi-Fi 场景。美国联邦贸易委员会解释了公共 Wi-Fi 的风险，咖啡馆 Wi-Fi 指南 把这些风险变成了习惯。
• 你自己的手机热点或当地 SIM 卡。 在敏感时刻往往最安全，因为你没有与陌生人共用无线网络。

VPN 对中间两类帮助最大。对被入侵的笔记本它帮助很小，对钓鱼邮件则完全无能为力。想用系统的方法判断自己需要多少保护，可以建立一个简单的威胁模型。

问题五：你的账号是否有密码之外的保护？

现实中，远程办公者被入侵，大多始于凭据被盗或重复使用，而不是有人在 Wi-Fi 上窃听。这就是为什么多因素认证比任何 VPN 都重要。

1. 启用多因素认证。 邮箱、工作账号、云存储和密码管理器都要开。CISA 的指南 More than a Password 解释了原因。
2. 尽量选应用或硬件方式， 少用短信，尤其当你出行时 SIM 卡会变化。
3. 离线保存恢复码， 不要只放在可能丢失的设备上。
4. 使用密码管理器, 并为每个账号设置不同的密码。
5. 确认在国外如何接收第二因素。 发到家乡号码的验证码，换了当地 SIM 卡之后可能收不到。

如果需要复习，请读什么是双重验证。NIST 的远程办公指南 SP 800-46 也把强认证和受管理的设备视为远程办公的核心控制措施。

问题六：你的设备为出行和共享空间做好准备了吗？

笔记本丢失或被盗，造成的损失比大多数网络攻击更大。出发前检查这些：

• 开启全盘加密， 并知道恢复密钥保存在哪里。
• 启用自动更新， 包括操作系统、浏览器和关键应用。
• 缩短自动锁屏时间, 并设置强密码或生物识别锁。
• 设置远程锁定和擦除， 并实际测试过。
• 防窥屏膜， 用于火车、飞机和咖啡馆。
• 独立的工作配置文件或用户账号， 如果设备与家人共用。
• 备份。 重要文件应存在于你随身笔记本之外的地方。
• 只带必需品。 不要带存有你不再使用的数据的旧设备。

一些国家对在边境检查或搜查设备有相关规定。请查看本国政府对目的地的旅行提示，并询问雇主跨境时保密数据应如何处理。

问题七：个人 VPN 该放在哪里？

经过以上问题之后，VPN 的角色就清晰而朴素了。它在几种情形下有用：

• 没有受管理公司工具的共享 Wi-Fi， 例如同时为多个客户工作的自由职业者。
• 个人浏览和账号， 在同一台笔记本上、公司隧道之外，且政策允许时。
• 不让本地网络读到你访问了哪些网站。 Wi-Fi 的所有者看到的是通往 VPN 服务器的加密连接，而不是你的访问目的地。
• 跨越多个网络的一致保护层， 这样你的保护不取决于每个场所的 Wi-Fi 设置得多用心。

VPN 防不了以下这些：钓鱼、你自己安装的恶意软件、弱密码、被入侵的笔记本、你登录后会记录你行为的服务，或者客户政策里写明你不能在当前位置工作。参见 VPN 无法保护你的方面。

如果你选择个人 VPN，要看它如何处理分应用代理（split tunneling）。该功能让部分应用绕过隧道，其他应用则走隧道，而这对那些期望看到你正常连接的工作工具可能很重要。在决定哪些应用留在隧道之外之前，请先读什么是 split tunneling。如果你是独立承包人，需要让工具适配多个客户，自由职业者的 VPN 讲的是这种情况。

问题八：从国外打电话、上传和使用工具会怎样？

跨境工作涉及延迟，而 VPN 可能再增加一点。实用要点：

1. 在重要的日子之前先测试。 从新的位置与同事通话，分别在开启和关闭 VPN 的情况下比较质量。
2. 如果通话时使用 VPN,选择附近的稳定服务器。 远处的服务器会增加延迟，让声音断断续续。
3. 预期会遇到验证码和验证提示， 来自注意到新位置的服务。这很正常，几天后往往会减少。
4. 大文件上传放在稳定的连接上。 尽量用有线网络，大文件避免用火车上的 Wi-Fi。
5. 了解时区重叠的时段。 把会议安排在你网络最好的时间。

Teams 通话用的 VPN 一文对通话质量有更详细的说明。

问题九：出了问题怎么办？

每个计划都需要失败预案。出发前写下来。

• 设备丢失或被盗。 先告诉谁，多快？能远程锁定和擦除吗？
• 怀疑账号被入侵。 谁有权限重置你的访问权，非工作时间怎么联系他们？
• 网络故障。 你的备选是什么：手机热点、当地 SIM 卡、共享办公日票，还是图书馆？
• 客户或雇主事件。 如果你认为自己暴露了保密数据，应立即如实报告。拖延几乎总会让情况更糟。
• 签证或法律问题。 谁能为你提供建议，你是否已经找好了律师？

好做法是准备一页纸的笔记，写明联系人、恢复码的保存位置和具体步骤。并保留一份离线副本。

一个具体例子

莉娜是一家公司雇用的产品设计师，计划在国外一座城市住六周。她的清单可能是这样：

1. 她给经理和 IT 团队发邮件，说明日期和地点，询问允许做什么。IT 回复说她必须使用公司的访问工具，不得在工作笔记本上安装其他 VPN，并且必须保持磁盘加密。
2. 她把这次居住告知税务顾问，因为这是雇主无法替她回答的独立问题。
3. 她用身份验证器应用设置了多因素认证，并把恢复码记在纸质笔记本上。
4. 她买了一张当地 eSIM 作备用，并通过它测试了一次视频通话。
5. 她在手机和另一台个人笔记本上安装了个人 VPN，用于私人银行和浏览，这是被允许的。工作笔记本上则只使用公司工具。
6. 在共享办公空间里，她使用防窥膜，离开座位时总是锁屏。
7. 她写了一页纸，列出经理的电话、IT 的紧急热线，以及设备丢失时的步骤。

请注意在这个故事里 VPN 做了什么：很少。她的大部分安全来自政策、认证、设备管理和预案。

总结

跨境远程办公牵涉雇主政策、客户数据、当地法律、设备安全和网络风险等问题，而 VPN 只能回答最后一个。先弄清谁来定规则，工作用公司自己的访问工具，用多因素认证加固账号，为设备丢失或被盗做好准备，并为失败写好预案。在允许且共享 Wi-Fi 是薄弱环节的地方再加上个人 VPN，从新位置测试通话，而税务、签证和法律问题则交给合适的顾问。

如果简单的预付通行证适合你设置中的个人部分，准备好时可以看看价格页面。