SSL VPN 是什么
SSL VPN 是架在 TLS 之上的远程接入方案：员工在笔记本或手机上装客户端软件，经公网端口与云上的 SSL VPN 服务端建立加密隧道，再按授权访问 VPC 内的主机、数据库与内网系统。它解决的是「个人终端安全进内网」，和把两个站点网关对接起来的 IPsec VPN 不是同一类产品——前者按用户授权、终端可随处漫游，后者按网段互通、两端设备位置固定。
基本信息
| 加密协议 | TLS（常见走 TCP 443，可改自定义端口） |
|---|---|
| 适用平台 | 阿里云 / 华为云 / 腾讯云 的 SSL VPN（客户端 VPN） |
| 认证方式 | 证书、账号口令、双因子，以产品支持为准 |
| 客户端网段 | 分配给接入终端的地址段，建议单独规划 /24 |
| 授权粒度 | 按用户或用户组绑定可访问的网段与资源 |
| 前置条件 | 服务端公网地址与端口需放行，客户端装对应版本软件 |
典型使用场景
- 研发与运维在家接入云上测试环境，不必把跳板机挂到公网
- 外包和临时人员按账号按期授权，项目结束即回收权限
- 数据库运维接入：只放行到指定网段与端口，替代安全组大范围开放
- 没有固定出口的分支机构或个人办公，用客户端拨入内网
- 与堡垒机配合：SSL VPN 只到堡垒机，再由堡垒机连目标主机，登录全程留痕
与 IPsec VPN 的区别
| 维度 | SSL VPN | IPsec VPN |
|---|---|---|
| 接入对象 | 个人终端（电脑、手机） | 站点网关（IDC、分支、另一 VPC） |
| 终端改动 | 需安装客户端软件 | 两端网关配置即可，终端无感 |
| 授权粒度 | 按用户或用户组控制可访问网段 | 按路由宣告的网段互通 |
| 常用端口 | TCP 443 或自定义端口 | UDP 500/4500（经 NAT 时用 NAT-T） |
| 容量关注点 | 在线用户数、服务端规格 | 隧道带宽、连接数 |
客户端连通性检查
客户端连通性检查
ip addr show tun0 # 隧道接口是否分到客户端网段地址
ip route get 10.0.1.20 # 访问内网的流量是否走隧道接口
ping -c 4 10.0.1.20 # 目标主机基础可达性
traceroute -n 10.0.1.20 # 卡在哪一跳，区分隧道内外问题
tcpdump -ni eth0 port 443 | head # 能否与服务端建立 TLS 连接
# Windows 侧：route print 看是否有指向内网的隧道路由客户端网段与 VPC 或 IDC 网段重叠会造成路由冲突，典型表现是「隧道连上了但内网访问异常」。规划阶段先把现有网段列一遍再分配。
认证只解决「你是谁」，接入范围要靠授权控制：按最小权限只开放必要网段与端口，把数据库、管理后台收敛到堡垒机后面，避免拿到隧道就等于拿到整个 VPC。
落地顺序：先建 SSL 服务端并绑定 VPN 网关，再规划客户端网段与账号/证书体系，最后按用户组下发权限。证书认证要提前把 CA 证书分发到终端，账号认证若对接 AD/LDAP 需确认同步范围与双因子策略，具体字段以云厂商当版文档为准。