什麼是VPN（虛擬私人網路）
Virtual Private Network的縮寫。在網際網路等共用網路上建立加密的虛擬專用通訊路徑（通道），讓遠端據點或公司外的終端，能像直接連到公司內部網路一樣通訊的機制。方式有IPsec、TLS（SSL-VPN）、WireGuard等。
日文名稱: VPN
「VPN（虛擬私人網路）」出現在3領域的6道練習題中（網路攻擊與防禦實務, 電腦網路基礎, 系統架構與可靠度設計等）。
這個名詞所屬的領域: 電腦網路基礎
通道與封裝
VPN設備或軟體把要傳送的整個IP封包加密並加上竄改偵測碼，放進以兩端VPN出入口為目的地的新IP封包中傳送（封裝）。接收端的出入口取出並解密後，把原本的封包送進公司內部網路。這樣一來，途中的網際網路既看不到內容也看不到原本的目的地，而且可以直接使用公司內部的私有位址通訊。由於標頭增加，能放進去的封包會變小，有時需要調整MTU。
站對站VPN與遠端存取VPN
站對站VPN是在總公司與分公司等各處設置VPN設備，把區域網路彼此連接，使用者不會察覺VPN的存在。遠端存取VPN則是在家中或出差地的個人電腦以用戶端軟體連到公司的VPN設備。方式有在網路層加密、以IKE交換金鑰的IPsec，使用TLS的SSL-VPN，以及在UDP之上運作、較新的WireGuard等。也有像使用電信業者封閉網路的IP-VPN這樣，不經過網際網路的VPN。
VPN能保護的範圍與限制
VPN保護的是終端與VPN出入口之間的通訊，即使在公共無線區域網路這類容易被竊聽的地方，該區間的內容也不會被讀取。但出入口之後就是一般的通訊，終端本身若感染惡意軟體也無法防範。VPN設備暴露在網際網路上，其漏洞也可能被當作入侵的入口，因此更新與多因素驗證不可或缺。由於「一旦連上就能到達公司內任何地方」的想法有弱點，每次存取都加以確認的零信任思維也逐漸普及。
練習VPN（虛擬私人網路）的題目
下列關於網際網路VPN的敘述，何者正確？
- A把通訊路徑切換到專用的實體線路，讓通訊不經過網際網路
- B只要使用VPN，即使連線對象的伺服器或終端感染了惡意程式，也能安全地通訊
- C在網際網路上建立進行加密與驗證的虛擬專用通道（隧道），讓遠端據點或在家的終端如同連在公司內部網路上一樣
查看答案與解析
正確答案：C. 在網際網路上建立進行加密與驗證的虛擬專用通道（隧道），讓遠端據點或在家的終端如同連在公司內部網路上一樣
在VPN（虛擬私人網路）中，原本的封包會被加密並放入另一個封包中（封裝）傳送，再由對方的VPN設備取出。途中的路徑看不到內容與公司內部的位址，也能偵測竄改。使用的協定有IPsec、使用TLS的方式、WireGuard等。在實體上會經過共用的網際網路，這點與專線不同。受到保護的只有隧道的區間，因此連線對象本身的安全，以及VPN出口之後通訊的安全，都需要另外考量。
作為遠距工作員工使用公司內部系統的方式，比較傳統的遠端存取VPN與零信任網路存取（ZTNA），正確的說明是下列何者？
- AZTNA會把連線過一次的裝置接到整個公司內部網路，因此不需確認就能比VPN自由存取更多系統
- B使用VPN時，連線的裝置常可觸及公司內部網路的廣大範圍，而ZTNA會確認使用者與裝置，只讓其連到獲准的應用程式
- CVPN與ZTNA都只是加密通訊的機制，連線的使用者能存取的系統範圍完全沒有差異
查看答案與解析
正確答案：B. 使用VPN時，連線的裝置常可觸及公司內部網路的廣大範圍，而ZTNA會確認使用者與裝置，只讓其連到獲准的應用程式
遠端存取VPN是讓公司外部的裝置加入公司內部網路的機制，連線後常可廣泛觸及網路設定所允許的範圍，認證資訊一旦被竊就會成為入侵的立足點。ZTNA在確認使用者的驗證與裝置狀態後，只居中轉接到獲准的個別應用程式，不把應用程式直接暴露在網際網路上。因此能縮小遭入侵時攻擊者可觸及的範圍。VPN設備本身也暴露在網際網路上，其弱點經常成為入侵途徑，這也是推動轉移的原因之一。
常見問題
使用VPN就能匿名嗎？
無法完全匿名。連線的網站看到的是VPN出口的位址而不是使用者的IP位址，但經營VPN的公司或組織看得到使用者在與誰通訊。登入資訊與Cookie也能識別出使用者。
IPsec與SSL-VPN有什麼不同？
IPsec在網路層加密IP封包本身，因此能承載任何應用程式的通訊，常用於站對站VPN。SSL-VPN使用TLS，容易從網頁瀏覽器或專用軟體使用，也容易通過防火牆，因此常用於遠端存取。
解析中的「VPN（虛擬私人網路）」
在VPN（虛擬私人網路）中，原本的封包會被加密並放入另一個封包中（封裝）傳送，再由對方的VPN設備取出。
下列關於網際網路VPN的敘述，何者正確？遠端存取VPN是讓公司外部的裝置加入公司內部網路的機制，連線後常可廣泛觸及網路設定所允許的範圍，認證資訊一旦被竊就會成為入侵的立足點。
作為遠距工作員工使用公司內部系統的方式，比較傳統的遠端存取VPN與零信任網路存取（ZTNA），正確的說明是下列何者？將通訊加密並在據點之間建立虛擬專用線路的是 VPN。
關於 CDN（內容傳遞網路）的說明，下列何者適當？防火牆不會加密，因此要保護通訊需與TLS或VPN搭配。
下列關於防火牆（封包過濾型）基本功能的敘述，何者正確？代表性的手法包括利用暴露在網際網路上的VPN設備或Web伺服器等的弱點、以網路釣魚郵件誘使執行惡意程式或輸入認證資訊，以及用在其他地方外洩的正規帳號與密碼登入遠端存取。
攻擊者最初進入組織網路的「初始存取」手法，是下列何者？
出現「VPN（虛擬私人網路）」的題目（6題）
相關名詞
封包 TLS 零信任 CDN（內容傳遞網路） 防火牆 網頁應用程式防火牆（WAF） 網路釣魚 勒索軟體 多因素驗證 乙太網路（Ethernet）