前言：VPN ≠ 絕對安全
咖啡廳、機場熱點連企業 VPN 已成常態，但 VPN 僅保護「隧道內」流量，端點環境、分離隧道、認證強度才是真正決定安全高低的關鍵。
VPN 協定與架構選擇
| 類型 | 代表 | 優點 | 缺點/風險 |
|---|
| OS 內建 PPTP | Windows XP/Vista/7/10/11 | 零成本、零部署、原生支援 | MS-CHAPv2 弱點、無前向保密、易遭主動攻擊 |
| 開源 SSL VPN | OpenVPN | 開源、社群活躍、支援 UDP/TCP、TLS 1.2+ | 需額外客戶端、管理介面較弱 |
| 商用 SSL/IPsec VPN | Cisco AnyConnect, FortiClient, Pulse Secure, NCP | 強認證整合、姿態檢查、分流控制、集中管理 | 授權成本、相容性測試 |
關鍵安全控制項
- 多因子認證 (MFA)：密碼 + Token（RSA SecurID、Google Authenticator、簡訊 OTP、硬體金鑰）。
- 端點姿態檢查：防毒啟動/最新毒碼、磁碟加密、補丁版本、防火牆啟用 → 不合規拒絕或導向修補區。
- 禁止分離隧道：強制全隧道，所有流量（含網際網路）經企業出口，防止惡意碼繞過防火牆、資料外洩。
- 加密演算法：AES-256-GCM / ChaCha20-Poly1305，PFS (ECDHE)，淘汰 3DES、SHA-1、DH 1024。
- 最小權限存取：依角色/群組下發 ACL，僅開放必要應用（Citrix/VDI 發布應用優於完整桌面）。
- 日誌審計與異常告警：登入地理位置異常、並行 Session、大量下載觸發 SIEM 告警。
實務案例啟示
- 教會案例：Cisco PIX 老舊不支援 64-bit Vista VPN 客戶端，改用 NCP VPN 相容既有防火牆，省下換設備成本。
- 律師事務所：三因子（帳號、密碼、SecurEnvoy 單次密碼推送至 BlackBerry），實體 Token 風險轉移至手機。
- 保險巨頭 MetLife：Check Point VPN + RSA 雙因子 + 全磁碟加密，嚴控遠端存取。
給管理者的檢核表
- [ ] 是否強制 MFA？
- [ ] 是否啟用端點姿態檢查？
- [ ] 是否禁止分離隧道（強制全隧道）？
- [ ] 加密套件是否符合現代標準（TLS 1.2+、AES-GCM、PFS）？
- [ ] 是否依角色實施最小權限存取？
- [ ] 是否有針對 VPN 登入的異常行為分析？
結語
無線 VPN 安全不在「有無 VPN」，而在「如何配置與管控」。零信任架構下，VPN 只是眾多存取管控點之一，持續驗證、最小權限、端點可信 才是核心防禦邏輯。