疫情期間，很多企事業(yè)單位都選擇在家辦公。員工在家通過虛擬局域網(wǎng)連接到企業(yè)內(nèi)部的ERP、OA、財務(wù)等系統(tǒng)，既可以滿足疫情防控的需要，又不影響工作。那么企業(yè)要進行遠程辦公應(yīng)該如何搭建網(wǎng)絡(luò)環(huán)境呢？本文中，我將結(jié)合WSG上網(wǎng)行為管理網(wǎng)關(guān)，來描述企業(yè)如何準備在家遠程辦公的網(wǎng)絡(luò)環(huán)境。
PPTP雖然飽受安全性詬病，但是由于PPTP速度快、支持的系統(tǒng)多（windows、andriod默認都可以支持），仍然有很多人選擇PPTP作為遠程辦公的撥入?yún)f(xié)議。有一點我們要注意的是，PPTP的安全性依賴用戶名密碼，而且通訊加密強度不夠。如果對安全性要求高，建議采用SSL VPN（openvpn）等更安全的VPN通訊協(xié)議。
在本文中，我講介紹PPTP遠程辦公撥入的具體步驟。
首先要在遠程網(wǎng)絡(luò)上開啟PPTP服務(wù)，以WSG上網(wǎng)行為管理網(wǎng)關(guān)為例，具體配置如下圖：
WSG上網(wǎng)行為管理（WFilter NGF）既可以做網(wǎng)關(guān)部署，也可以做網(wǎng)橋部署。在網(wǎng)橋部署模式下，WSG的IPSec VPN和OpenVPN一樣是可用的，可以實現(xiàn)單臂模式的VPN組網(wǎng)。網(wǎng)絡(luò)結(jié)構(gòu)如下圖：
本文將結(jié)合WSG介紹如何實現(xiàn)IPSec VPN的單臂部署。
現(xiàn)在大部分虛擬局域網(wǎng)的組建都通過IPSec的方式，其實用openvpn來組網(wǎng)也是很不錯的方案。跟IPSec相比，openvpn的功能更加強大和靈活：
可以修改端口和通訊方式。
可以實現(xiàn)用戶名認證和證書認證兩種認證方式。
可以對客戶端分配IP，從而實現(xiàn)更加細致的防火墻權(quán)限控制。
本文將簡單介紹openvpn組網(wǎng)的一些簡單步驟，如果您要用openvpn實現(xiàn)遠程辦公撥入，請參考：如何用OpenVPN實現(xiàn)遠程辦公？
IPSec VPN 技術(shù)在IP傳輸上通過加密隧道，在用公網(wǎng)傳送內(nèi)部專網(wǎng)的內(nèi)容的同時，保證內(nèi)部數(shù)據(jù)的安全性，從而實現(xiàn)企業(yè)總部與各分支機構(gòu)組建虛擬局域網(wǎng)的需要。IPSec組網(wǎng)的具體步驟，請參考：一次典型的IPSec VPN組網(wǎng)方案。很多情況下，我們還需要控制對端的訪問權(quán)限。在本文中，我將介紹WFilter NGF中的IPSec VPN訪問權(quán)限。
IPSec隧道的配置中，”防火墻規(guī)則“有“自動”和“手動”兩個選項：
在本文中，我將介紹如何在RouterOS和WSG上網(wǎng)行為管理網(wǎng)關(guān)之間使用openvpn組建site-to-site VPN。網(wǎng)絡(luò)拓撲圖如下：
本例中，我們把WSG作為openvpn的服務(wù)端，RouterOS作為openvpn的客戶端。反過來的配置也基本類似。
在本文中，我將介紹如何在RouterOS和WSG上網(wǎng)行為管理網(wǎng)關(guān)之間創(chuàng)建IPSec隧道。網(wǎng)絡(luò)拓撲圖如下：
本例中，我們把WSG作為IPSec的服務(wù)端，RouterOS作為IPSec的客戶端。反過來的配置也基本類似。
由于公網(wǎng)IP地址不夠用，一些網(wǎng)絡(luò)運營商只給撥號用戶提供二級IP地址。換句話說，你的網(wǎng)關(guān)獲取到的只是一個內(nèi)網(wǎng)IP地址，在公網(wǎng)上是不可達的。這個事實，會給撥號上網(wǎng)的企業(yè)帶來如下問題：
無法實現(xiàn)依賴端口映射的業(yè)務(wù)功能。
無法實現(xiàn)直接VPN組網(wǎng)。
在本文中，我將介紹一種通過云主機來進行中轉(zhuǎn)的VPN組網(wǎng)方式。你只需要購買一臺有固定IP地址的云主機，即可實現(xiàn)多地VPN組網(wǎng)。既節(jié)省了專線的費用，而且云主機還可以用來搭建Web服務(wù)或者其他服務(wù)。網(wǎng)絡(luò)拓撲圖如下：
企業(yè)為了滿足出差人員，在家人員的辦公需要，往往需要開通遠程辦公功能。使得員工可以通過互聯(lián)網(wǎng)連接到公司內(nèi)網(wǎng)進行工作。在WFilter NGF中，“OpenVPN服務(wù)端“和“PPTP服務(wù)端”這兩個模塊都可以滿足遠程辦公的需要。相對而言，OpenVPN的配置復雜，但是安全性更高一些。
本例中，我將演示如何用WFilter NGF的OpenVPN服務(wù)端模塊來實現(xiàn)遠程辦公。
分支結(jié)構(gòu)和總部之間的數(shù)據(jù)通訊現(xiàn)在一般都通過VPN線路來實現(xiàn)，如果總部只有一條VPN線路，那么當總部線路故障時，就會導致分支機構(gòu)數(shù)據(jù)無法上傳，影響正常的辦公需要。其解決辦法，一般是通過多條VPN線路的方式，來實現(xiàn)VPN線路備份，一條線路不通時，會自動切換到另外一條線路，從而實現(xiàn)不間斷的VPN連接。
本文將介紹用WFilter NGF中的Open VPN（SSL VPN）組建site-to-site VPN，并且實現(xiàn)高可用性的VPN線路備份。
支持遠程撥入的VPN技術(shù)，使員工在出差、下班時可以連接到公司的局域網(wǎng)處理工作，給工作帶來了很大的便利。所以現(xiàn)在很多公司都支持VPN遠程撥入。本文將簡單介紹VPN的幾種組建方式，以及相關(guān)的安全問題。如果您需要創(chuàng)建site-to-site的VPN，請參考：Ipsec VPN
PPTP（Point to Point Tunneling Protocol），即點對點隧道協(xié)議。該協(xié)議是在PPP協(xié)議的基礎(chǔ)上開發(fā)的一種新的增強型安全協(xié)議，支持多協(xié)議虛擬專用網(wǎng)（VPN），可以通過密碼驗證協(xié)議（PAP）、可擴展認證協(xié)議（EAP）等方法增強安全性?？梢允惯h程用戶通過撥入ISP、通過直接連接Internet或其他網(wǎng)絡(luò)安全地訪問企業(yè)網(wǎng)。
WFilter NGF的IPSec VPN模塊，可以很方便的在企業(yè)總部和分支機構(gòu)之間創(chuàng)建VPN局域網(wǎng)，利用現(xiàn)有的互聯(lián)網(wǎng)出口，虛擬出一條“專線”，將組織的分支機構(gòu)和總部連接起來，組成一個大的局域網(wǎng)。網(wǎng)絡(luò)拓撲圖如下：
IPSec隧道建立成功后，總部以及各分支的內(nèi)網(wǎng)之間就可以直接互相訪問。下面是具體的配置步驟：
雖然WSG網(wǎng)關(guān)（WFilter NGF）支持IPSec的site to site隧道，以及openVPN。仍然有些用戶部署WSG網(wǎng)關(guān)后，并不想替換現(xiàn)有的VPN。這種情況下，需要把現(xiàn)有的VPN做單臂部署。本文將做一個簡單介紹。
使用WFilter ROS的“VPN客戶端”和“多線均衡”模塊，可以實現(xiàn)自動切換VPN線路和寬帶線路。利用此功能，無需在客戶端進行任何配置，即可實現(xiàn)VPN上外網(wǎng)。并且支持如下功能：
基于本地IP自動切換
基于目的IP自動切換
基于目的域名自動切換
