远程接入与站点互联

远程接入 VPN 与站点互联 VPN 的主要区别在连接端点和路由范围。远程接入通常让单台终端通过互联网连接组织网关；站点互联则在两个或多个网络边界网关之间建立隧道，承载站点之间的路由流量。

远程接入

客户端通过用户或设备凭据完成认证，获得隧道地址和组织允许访问的路由。访问控制可进一步按用户组、设备状态、目标地址和服务端口实施。共享个人账号、将整个组织网段无差别开放给所有客户端会扩大风险范围。

站点互联

两端网关通常通过固定或可解析的外网地址建立隧道，并分别声明本地网段和远端网段。两侧都需要配置回程路由、防火墙策略和地址转换规则。不同站点存在重叠地址时，必须进行重新编号、地址转换或更明确的流量选择设计。

跨平台操作示例

下列命令仅在对应 VPN 配置文件、服务端身份和认证方法已由管理员提供后使用。示例中的服务器名称和内网前缀为占位值。

Windows 原生 IKEv2 客户端

Add-VpnConnection -Name "Corp-IKEv2" -ServerAddress "vpn.example.net" -TunnelType Ikev2 -AuthenticationMethod Eap -SplitTunneling
Add-VpnConnectionRoute -ConnectionName "Corp-IKEv2" -DestinationPrefix "10.20.0.0/16"

macOS 已配置的 VPN 服务

scutil --nc list
scutil --nc start "Corp IKEv2"

macOS 的 IKEv2 账户、服务器标识和认证信息应通过“系统设置 → VPN”或组织提供的配置描述文件设置。

Linux strongSwan 已配置的 IKEv2 连接

sudo swanctl --load-conns
sudo swanctl --initiate --child corp

strongSwan 的连接名称、证书、对端标识和 traffic selector 必须与网关配置相符。站点互联的对端网段通常配置在双方网关的本地与远端流量选择器中。

验收范围

• 分别确认身份认证、隧道状态、隧道地址和目标路由。
• 从隧道两侧验证实际目标服务，不把“连接已建立”视作端到端访问成功。
• 确认仅组织批准的用户、设备和网络可互访。

参考资料

strongSwan：配置快速入门；strongSwan：站点互联与远程接入；Microsoft Learn：Add-VpnConnection；Apple：在 Mac 上配置 VPN。