浅谈企业内网VPN安全防护

董殿斌 史威 吴杰 宋华茂 夏阳 宋素斋

摘要：办公VPN是开展远程办公活动的重要工具，员工在出差、休假、休班等状态下，能够及时访问企业内部信息系统，满足各类应急、公文处理及文件传输的需要。特别在疫情防控情况下，办公VPN的便捷性更加凸现，但同时也存在着一些风险。本文从VPN防护的基本需求出发，以安全防御为工作重点，结合实际需求，通过践行零信任架构体系，实现让攻击者看不见、进不去、摸不到，达到确保各环节的访问控制策略持续有效的运转，为企业VPN办公保驾护航的目的。

关键字：VPN，绕行，控制，策略

前言

办公VPN是互联网暴露面的重要组成元素，与生产业务区的正面攻防场景不同的是VPN攻击行为具有以下五个典型特点，一是攻击者更隐蔽，更难以被发现;二是办公防御措施难度通常远高于生产正面强度;三是以非法方式，劫持合法路径，获得操作权限和控制权限;四是对集中式一体化平台带来巨大威胁（AD域、堡垒机等）;五是防守方难以关停，只能被动应战。由于VPN被突破后可以直接进入内网区域，近年在各种实战演活动中出现了多起击穿案例。生产业务系统的安全防护进行单独防护，技术基本趋于成熟，但围绕办VPN的有效防护仍普遍处于探索阶段。

1.VPN防护的基本需求

1.1常见的VPN防护思路及特点

结合实际工作，最快最有效的防护是临时下线关闭服务，但这种方法影响正常的经营活动，不能体现客观实际的安全防御水平，也无……