远程访问 VPN 还是站点到站点 VPN：哪一种更合适？

出差员工和分支机构需要不同的隧道，选错就会做出一种在实验室里能用、到了第一个周一就失败的设计。远程访问把一台设备接入网关。站点到站点连接两个代表网络的网关。下面的清单可以判定需求实际上描述的是哪一种。

谁来拨号，拨号方背后是什么

在远程访问中，笔记本或手机上的软件建立隧道，网关在分配地址和路由之前验证用户、设备或两者。在站点到站点中，路由器、防火墙或云网关建立连接，其后的设备使用普通路由，而不必运行客户端。这一差别决定了隧道可用时间由谁负责：前一种情况是员工的设备，后一种情况是受管理的设备。它也决定了身份验证描述的是一个人还是一个网络。

如果需求是一个办公室里的每台机器都能访问另一个办公室、且无需逐设备配置，那就到此为止。这就是站点到站点，堆一堆远程访问登录是很差的替代方案。

地址规划与回程路径

规划互不重叠的本地与远端地址段。两个站点可能都用同一个私有子网，这时设计就需要地址转换或重新编号，路由才没有歧义。家用路由器与总部使用同一地址段，会给单个远程员工造成同样的问题。地址重叠相当常见，所以在第一次沟通时就应当检查。

回程路径和去程同样重要。服务器能收到请求，却仍可能没有回到客户端网络的路由。

记录哪个路由器知道远端前缀，在云网络和多个网关的场景下尤其如此。绿色的隧道图标无法回答目标是否有可用的回程路由，单向 ping 也不能。在远程访问中，网关通常拥有地址池路由；在站点到站点中，承载该前缀的每一个中间路由器都必须一致。地址转换会把缺失的路由掩盖起来，直到某个内嵌地址的应用出问题。

上网出口是另一个决定

私有可达性并不要求隧道承载公网浏览。普通网页流量是否从网关出去是第二个决定，按设计而定，并记录在客户端配置文件或站点配置中。

全隧道和拆分隧道回答的是那个问题，而不是远程访问与站点到站点之间如何取舍的问题。两种设计里内部名称都需要合适的 DNS，因为公共解析器无法回答私有办公主机的名字。下发解析器和下发默认路由是相关的设置，只改一个而不改另一个，会产生看起来像 DNS 问题的故障。

用拓扑结构缩小故障范围

一台漫游笔记本掉线，指向客户端、它的账号或它所在的本地网络。整个分支掉线，则指向共享路径和网关。

先查隧道能否建立，再查路由，再查被允许的流量，再查名称解析，最后查应用登录，在第一个失败的环节停下。ip route get 10.60.8.15 在你翻开任何应用日志之前就回答了路由问题。加密设置修不好文件共享的权限错误，能 ping 通也证明不了应用被授权。保持固定顺序，可以避免那种把一个故障变成三个故障的随机改配置。

最后，读厂商资料时要把定义分清楚：商业上网出口服务器与公司的私有网关是两种服务，前者不提供对公司内网的任何访问。