在家办公接入内网：USG SSL VPN 远程接入

出差和居家办公成了常态，员工要的不是把内网服务器暴露到公网，而是一条带认证、带审计的加密通道。华为 USG 防火墙的 SSL VPN 用浏览器或客户端即可接入，无需逐台装拨号软件，是中小企业远程接入的轻量选择。

规划三件事

一是地址池：给远程终端划一个专用网段，与内网业务段路由可达但清晰可辨，审计与策略都好写；二是认证：本地账号起步，正式规模用对接 AAA/AD，账号离职即失效，别用一份共享账号走天下；三是权限：SSL VPN 支持按角色发布资源——只给财务开财务系统端口、给运维开运维段，而不是一通全通。

配置主线

网络里建地址池与用户；安全网关开 SSL VPN，端口用默认 443 对外；建远程接入策略绑定认证方式、地址池与资源列表（Web 代理、端口转发、网络扩展三种资源形态，网络扩展对应全隧道式访问）；安全策略放行"SSL VPN 隧道地址池到所发布资源"的定向流量。防火墙的默认包过滤从严，隧道流量要显式放行，这是配完连不上的常见原因。

给员工的配套指引

远程接入的体验一半在端上：发一份两页纸的接入指引，覆盖客户端安装、双因素绑定、常见报错三节，服务台工单能省下大半；终端侧的基本要求同步写明——系统补丁要齐、来路不明的软件不装，隧道只放大终端已有的风险，终端不干净，隧道反而是条直通内网的快车道。

给员工的配套指引

远程接入的体验一半在端上：发一份两页纸的接入指引，覆盖客户端安装、双因素绑定、常见报错三节，服务台工单能省下大半；终端侧的基本要求同步写明——系统补丁要齐、来路不明的软件不装，隧道只放大终端已有的风险，终端不干净，隧道反而是条直通内网的快车道。

安全收口四条

启用双因素（口令加短信或动态码）；会话空闲超时自动断开；并发会话数按授权规划；接入日志进日志服务器留存。上线后做一次验收：外网终端登录、拉起隧道、按角色试访问——越权资源应打不开，审计里应留下账号与时间。贵州诚鑫致达科技给客户配远程接入的原则只有一条：给到手的每一条隧道都要能说清"谁、在什么时候、能碰到什么"——说不清的隧道，宁可不开。

企业存储选型参考｜贵州诚鑫致达

用 DS918+/DS920+/DS1517+/DS1817+ 等经典机型的老用户，群晖机型参考：可平滑升级到 DS1522+ · DS1823xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。