出差、居家上班、外點辦公室，都會遇到同一件事：從外面連回公司系統。收發郵件跟雲端硬碟勉強夠用，但 ERP、檔案伺服器、內部網頁就是進不去。VPN 要解決的就是這個問題。
三種常見做法
遠端存取 VPN：員工用帳號密碼或憑證登入，拿到一組內部 IP，只能連到指定資源。設定最單純，適合出差與居家辦公。
Site-to-Site VPN：把兩個固定網路接起來，分公司或工廠的電腦就像坐在總公司區網裡。不必每個人各自登入，但兩端設備都要支援，頻寬也固定。
零信任存取：不給整段網段，只開放單一應用程式。這幾年不少防火牆原廠把它直接做進設備。
連得起來，不等於安全
最常見的問題是帳號共用，一組帳密全公司輪流用，離職員工照樣能連進來。再來是只靠一組密碼，被釣魚信騙走就等於把門開著，這部分用多因子驗證補最直接。
另一種狀況是設定成所有流量都繞回公司，結果在家上網比在公司還慢。這種要改成只有內部系統走 VPN，其餘流量直接出去。
頻寬跟設備規格要對得上
十個人同時透過 VPN 拉檔案，跟十個人只看網頁，對外頻寬的需求差好幾倍。上傳頻寬通常是瓶頸，企業光世代的上傳往往只有下載的十分之一。遠端辦公人數一多，先看防火牆標示的 VPN 吞吐量，不要只看介面速度。
授權數量也是常被忽略的一項。VPN 授權多數以同時上線人數計價，買十個就是十個，第十一個只能排隊。先算清楚常態在外的人數，再留一點彈性，比事後追加授權省事。
資安基本功不能省
VPN 帳號要綁人、綁裝置，離職當天就停用，連線記錄要留著，出事才追得到來源。
對外開的埠越少越好，能收斂到單一入口就不要散開。這跟防火牆的網段規劃其實是同一套邏輯。
不確定設備做不做得到
尚筠科技協助企業建置 VPN 與遠端存取環境，包含防火牆設定、帳號權限、多因子驗證與分流規則。把現有設備的型號給我們，就能先判斷要不要換機器。電話 02-2397-2716。