VPN 路由并不代表可以远程登录你的 Mac

加入工作 VPN 本身并不能说明别人能否从别处登录你的 Mac。三件独立的事必须同时成立：一条能到达该设备的网络路径、一个正在运行的访问服务，以及某个特定账户使用该服务的权限。隧道只提供第一项。本页其余内容讲的是在不预设答案的前提下核查另外两项。

从可能提供远程访问的服务或已安装组件入手，不要再从菜单栏里的“已连接”状态指示灯去推断。

人们常合并成一项的三项控制

可达性回答数据包能否到达。共享服务回答设备上是否有程序在监听。授权回答该服务接受哪些身份，以及它们进入后能接触什么。VPN 能改变第一个答案，却不触及另外两项，这正是这个问题在两个方向上不断得出错误结论的原因。

Apple 关于 Remote Login 的说明是这种区分的良好具体例子，因为它位于特定位置，并带有自己的账户选择。它位于“系统设置”→“通用”→“共享”之下，描述了带有允许用户选择的 SSH 与 SFTP 访问。远程用户的完全磁盘访问又是另一个独立选项，这进一步印证了要点：启用一项服务并不等于授予该服务可能提供的全部能力。

核查实际启用了什么

浏览“共享”面板，记下每一项已开启的服务，而不只是你预期的那一项。Remote Login、屏幕共享和文件共享各自打开不同的界面，且各有自己的用户列表。针对 SSH 的设置完全不能说明屏幕共享的情况，而操作系统里存在共享功能也完全不能说明是否有人用过。

然后盘点还有哪些东西可能提供访问：第三方远程支持代理、注册时安装的管理工具，或随其他软件捆绑的屏幕共享服务器。这些不会出现在“共享”面板里，而它们正是人们审计笔记本时容易遗忘的组件。把每一个你无法识别的代理都记下来，因为带监听端口的未知进程比不带端口的已知进程更值得关注。一份简短的未知清单，胜过只凭你碰巧打开的那一个面板得出的自信结论。

询问管理员注册安装了什么

如果工作注册涉及配置描述文件、管理员批准或额外软件，请让负责此事的人回答三件事：安装了哪些组件、它们持有哪些权限，以及你断开后还有什么保持活动。VPN 路由与有特权的端点代理能力差别很大，通常只有其中一个对用户可见。

对于获准的远程支持安排，请以书面形式取得细节：哪些用户被授权、打算进行哪些操作、是否会出现确认提示，以及任务结束后该安排如何移除。不要只为测试支持方能否连接就授予全体用户访问权或宽泛的磁盘权限，因为那次测试会永久扩大边界。

如果你发现了意料之外的证据

陌生的连接日志或已开启的开关只是线索，而不是某个人活动的证据。保留相关的非机密事件，记录时间，并使用组织或平台的事件处理流程，而不是去质问某人或在指望它自行解决的侥幸中删除证据。

在受管设备上，先让所有者审查拟议的更改，再停用策略要求的某项控制。在加入工作网络的个人设备上，要求明确的注册边界和受支持的退出流程，包括哪些会被移除、哪些会保留。

有用的回答会点明机制及其背后的授权。它从不用隧道标签来承诺雇主无限制的访问或完全的安全，也不会把路径与登录混为一谈。