واژهٔ VPN برای دو کار کاملاً متفاوت به کار می‌رود و همین باعث سوءتفاهم در جلسات فنی می‌شود. تفاوت را روشن کنیم.
VPN سایت‌به‌سایت
دو شبکه را به هم وصل می‌کند — مثلاً دفتر مرکزی و شعبه. تونل همیشه برقرار است و کاربران متوجهش نمی‌شوند؛ برایشان انگار همه در یک شبکه‌اند.
مناسب برای: شعبه‌های ثابت، اتصال به مرکز داده، ارتباط دائمی بین دو موقعیت مشخص.
خطر اصلی: اگر شبکهٔ شعبه آلوده شود، تونل یک بزرگراه به مرکز است. تونل سایت‌به‌سایت باید قواعد عبور داشته باشد، نه دسترسی کامل. این رایج‌ترین اشتباه در این پیکربندی است.
دسترسی از راه دور
یک کاربر منفرد از هر جایی به شبکهٔ سازمان وصل می‌شود. تونل موقتی است و با احراز هویت کاربر برقرار می‌شود.
مناسب برای: دورکاری، پشتیبانی خارج از ساعت اداری، دسترسی پیمانکاران.
خطر اصلی: دستگاه کاربر تحت کنترل شما نیست. لپ‌تاپ خانگی آلوده‌ای که VPN وصل می‌کند، آلودگی را با خودش می‌آورد.
سه قاعده‌ای که هر دو حالت را امن‌تر می‌کند
دسترسی کامل ندهید
کاربری که فقط به یک سامانه نیاز دارد، نباید به کل شبکه برسد. تقسیم‌بندی دسترسی بر اساس نقش، بیشترین اثر را در محدودکردن دامنهٔ خسارت دارد.
احراز هویت دومرحله‌ای الزامی باشد
دسترسی راه دور با رمز عبور تنها، یعنی هر رمز لو رفته‌ای یک در باز است. این نقطه، اولین جایی است که باید دومرحله‌ای شود.
لاگ بگیرید و نگاه کنید
چه کسی، از کجا، چه ساعتی وصل شده. اتصال از موقعیت غیرمنتظره یا ساعت غیرعادی، یکی از قابل‌اعتمادترین نشانه‌های اولیهٔ حساب لو رفته است.
پیمانکاران
دسترسی پیمانکار باید موقت و محدود باشد، و رویه‌ای برای ابطالش وجود داشته باشد. حساب‌های پیمانکاران پروژه‌های تمام‌شده که همچنان فعال‌اند، یافتهٔ همیشگی ارزیابی‌هاست.