为什么 VPN 注册要求你亲自到办公室

因为一个 VPN 账户而被要求本人到场，感觉像是一种技术限制，但事实完全不是这样。隧道协议并不关心你站在哪里。到访所实现的是一项关于身份的决定：组织里必须有人确信，领取凭据的人就是记录在案的那个人。弄明白哪一项决定需要这种保证，才能把关于行程的争论变成可以解决的问题。

三个看起来相似的请求

新员工需要确立身份、确认资格并获批访问权限，而这些都不能由一份证书申请或邮件里显示的名字来满足。现有用户修改密码，需要一种经过批准的方式来认证这次变更，这又是另一个问题。丢失了所有已接受认证器的人需要恢复，而这是三种情况中最危险的一种，因为提出请求的人可能正是试图替换那些本该阻止他的证据的冒充者。

这些情况默认不应共用同一套非正式流程。拥有员工编号，或者能访问一个未经验证的邮箱，都不能替代组织所选择的核验。

到访能证明什么，不能证明什么

身份证明是一个分阶段的过程，而不是一个地点。像 NIST 的身份证明指南 这样的指南，把身份解析、对背后证据的验证，以及确认申请人就是证据所描述的那个人区分开来。每个阶段都可以有人或无人陪同、远程或现场进行，而保证程度取决于所有这些阶段如何执行。跳过某个阶段是对风险的决定，而不是绕过文书工作的捷径。

站在办公室里，本身并不执行上述任何一个阶段。视频通话本身同样不执行其中任何一个，所以远程流程并不自动更弱，现场流程也不自动更完整。

保证来自受过培训的操作人员、证据处理和技术控制，地点只是限制了它们可以如何应用。办公室里一张由未受训人员值守的桌子，并不是一个强有力的流程。

申请经过批准的替代方案

如果出行确实不现实，请向指定的负责人了解是否已有经过批准的远程方式或恢复方式。不要与个别管理员协商例外，因为那会产生无人能够审计的凭据，以及无人同意过的先例。经过批准的路径通常是有文档记录的，即使最近没有人申请过。

在必须现场办理时，要弄清楚它究竟满足哪个阶段。核验证据的到访与见证签字的到访是两种不同的要求，两者的替代方案也不同。

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

让后续阶段保持明确

验证并不是流程的终点。访问批准、凭据绑定和交付各自都需要记录，而且应当写明预期设备和资源的范围，而不是假定。

也要保留经过批准的恢复路径，因为无法恢复的用户会自己找到一条非正式途径。任何已暴露的凭据都要按其实际的移除流程处理。完成一次到访或修改一次密码，本身并不会撤销其他活动会话，而大多数事件正是在这个空隙里持续下去。

因此，要带回去问负责人的问题很具体：哪一项决定需要本人到场才能保证，以及在无法出行时，经过批准的同等保证方式是什么。这个问题可以回答，而对行程的抱怨则无法回答。