安全 VPN 搭建：设备选型 + 需求问题完整解答

现状：现有 H3C 2.5G MER 系列路由器；需求：外网员工访问内网计算集群、NAS、Git、Jupyter；需要解决身份安全、链路安全、速度稳定性、端口最小权限、日常运维。

⚠️ 重要提醒：MER 商业路由器自带 SSL VPN 能力能力有限，适合少量人员简单办公；你的场景有计算集群、NAS 这类高价值业务，MER 的 VPN 权限细分、MFA 多因子、审计日志、并发性能不足，不建议直接用 MER 做正式业务 VPN 网关。

一、需要新增什么设备（两套方案）

方案 A（推荐，企业标准）：新增 H3C SecPath F100‑G5/F1000 系列防火墙（SSL VPN 网关）

1. 主设备：H3C SecPath 防火墙，作为 SSL‑VPN 网关，替代 MER 做 VPN 服务出口。
   • 支持 SSL VPN，支持细粒度资源权限、MFA 多因子认证、完整日志审计、带宽限流，适配 Linux/Windows/macOS 客户端，满足 Git/Jupyter/NAS/ 计算集群访问需求。
   • 部署位置：放在内网出口，MER 路由器仍保留做外网拨号，防火墙放在内网侧，不建议直接把 VPN 设备暴露公网，公网只放路由器。
2. 可选补充设备
   • 多因子认证服务器（MFA）：如果需要手机令牌 / 短信二次认证，可以部署 RADIUS 认证服务器（可以用软件服务器，不用额外硬件），对接防火墙 VPN 做二次校验。
   • 堡垒机（可选）：如果员工还要 SSH 登录集群服务器，建议增加堡垒机做操作审计。
   • 备份：并发用户多可考虑双机热备。

方案 B（预算有限，利旧 MER）：直接使用 MER 路由器自带 SSL VPN

限制：账号只能全局权限，很难做按用户限制端口 / 服务；MFA 多因子支持弱；日志能力简陋；并发量不大适合临时小规模使用，不建议存放重要集群、NAS 数据的生产环境。

组网逻辑 互联网 → H3C MER2.5G 路由器（公网出口）→ 内网交换机 → NAS、计算集群、Git、Jupyter 服务器。

VPN 网关：方案 A=SecPath 防火墙；方案 B=MER 路由器。

二、4 个业务问题逐一解答

问题 1：访问控制，仅员工访问，账号密码够不够？传输链路劫持风险

1. 仅用户名密码不够：弱密码、账号泄露、钓鱼风险高。 ✅建议：开启 MFA 多因素认证（推荐 TOTP 手机令牌），员工输入账号密码之后，还需要手机 APP 动态验证码才能登录 VPN。

支持：H3C SecPath 防火墙可以对接 RADIUS 实现 MFA；MER 路由器原生大多不支持完整 MFA。

2. 公网链路劫持风险 SSL‑VPN 隧道采用 TLS/AES‑256 加密，隧道内部数据防劫持防窃听；风险点不在链路劫持，而在账号泄露、VPN 网关被攻击、员工终端中毒。

• 防护手段： ① 不要把 VPN 管理页面直接暴露公网，仅开放 VPN 必要端口（443），管理端口限制内网访问； ② 使用正规 SSL 证书，不要用设备自带自签名证书； ③ 开启终端检查：VPN 客户端校验员工终端安全状态（杀毒软件是否开启）； ④ 账号策略：强密码、定期改密、闲置账号及时删除。

问题 2：VPN 链接速度和稳定性

1. 瓶颈顺序：公网出口带宽 > VPN 网关 SSL 加密吞吐量 > 员工家庭宽带

• 确认公司出口带宽，预留 VPN 上行带宽；大文件访问 NAS，上行带宽是关键。
• 设备选型看 SSL VPN 实际吞吐量，不要看整机防火墙吞吐量。
• 优化：SSL‑VPN 开启数据压缩；UDP 模式优先（比 TCP 延迟更低，适合集群、jupyter 交互）。
• 故障点：公网运营商抖动会导致 VPN 掉线，属于外网问题，设备层面无法完全规避；可以开启 VPN 断线自动重连。

注意：MER 路由器 CPU 性能有限，多用户同时访问 NAS 传输大文件，容易卡顿。

问题 3：端口限制，最小权限，避免访问不必要内网端口

核心：不要让 VPN 拿到完整内网全网段访问权限，按用户 / 用户组做资源隔离。

1. 在 SSL‑VPN 网关上配置资源列表，只开放需要的服务 IP + 端口：
   • Git：只开放对应服务器 22/80/443
   • Jupyter：只开放对应端口
   • NAS：只开放 SMB/NFS/ 网页管理端口
   • 计算集群：仅开放 SSH、业务端口，屏蔽数据库、运维管理端口。
2. 按员工分组：开发 A 组仅可访问 A 集群；B 组仅访问 B 集群，遵循最小权限原则。

MER 路由器短板：很难做到精细化按端口 / 服务分配权限，通常只能给整段内网网段，安全风险高。

问题 4：VPN 运维相关，常见运维事件

日常运维工作

1. 账号生命周期：员工入职新建 VPN 账号；离职立即禁用 / 删除账号；定期清理闲置账号。
2. 日志留存：保存 VPN 登录日志、访问日志，至少 6 个月，记录登录时间、账号、来源公网 IP、访问资源，用于安全溯源。
3. 版本维护：定期升级 VPN 网关固件，修补 SSL 相关漏洞。
4. 监控：监控 VPN 在线用户数、设备 CPU / 内存、并发会话数；异常大量登录告警。
5. 备份：备份 VPN 配置文件。

高频常见故障

1. VPN 连上，但部分内网业务不通：安全策略 / 资源权限没有放开、路由缺失、内网服务器回包路由未指向 VPN 网关。
2. 大文件传输慢：公司出口上行带宽不足，VPN 网关性能瓶颈。
3. 部分终端无法连接：客户端版本不兼容，本地其他 VPN 软件冲突，公网环境拦截 443 端口。
4. 频繁掉线：公网网络抖动；设备会话超时时间设置太短。
5. 安全事件：账号暴力破解、异常异地登录，需要配置登录失败锁定策略。

三、部署避坑要点

1. 不建议把 VPN 网关直接暴露公网；出口路由器只转发 VPN 业务端口，设备管理界面仅内网访问。
2. 业务服务器（NAS、集群）做好防护，即使 VPN 接入，服务器本身也要做账号密码防护，不能完全依赖 VPN 做唯一安全边界。
3. MER 路由器适合简单小规模场景；涉及计算集群、NAS 核心业务，优先选择 SecPath 防火墙做 SSL‑VPN 网关。