这份基于TLS的VPN部署前准备清单，全部来自企业远程接入场景的落地校验经验，没有冗余的理论要求，所有检查项都能直接通过现有网络设备完成验证，能帮运维人员避开多数上线后才会暴露的隐性问题，避免部署完成后临时调整配置影响远程员工的正常接入。
前置网络链路与端口预校验
基于TLS的VPN默认依托443端口传输，很多企业现有办公网的出口防火墙已经把公网443的入站流量映射给了对外发布的官网、业务系统，部署前必须先在核心交换机的端口镜像节点开启临时抓包，天行确认待分配的公网IP和端口没有被其他业务占用，避免端口冲突导致原有Web服务中断。
不少运维人员为了省事，直接把TLS VPN的服务端口改成高位非标准端口，结果外出员工使用的酒店、咖啡馆公共WiFi环境里，天行VPN网络配置检查普遍会拦截非80、443的其他端口，导致终端完全无法发起连接。预校验阶段要找不同运营商的公网测试节点，测试待使用端口的双向连通性，确认没有运营商层面的拦截规则。
TLS证书体系合规性梳理
基于TLS的VPN的客户端访问域名，必须和服务端证书的Common Name字段完全匹配，同时所有备用访问域名都要添加到证书的SAN别名列表中，不能用未备案的域名签发证书，不然国内运营商的链路节点会直接拦截证书校验流量，导致TLS握手阶段直接失败。
运维人员逐项完成TLS VPN部署前的端口校验与链路测试工作
不要直接使用自签名证书给移动办公终端使用，员工自带的手机、平板的系统根信任库默认不会收录自签名根证书，每次连接都会弹出不可信站点的告警，甚至部分安全等级较高的终端系统会直接阻断连接。部署前要把完整的证书链文件导出，上传到企业MDM设备管理平台，给所有托管的办公终端提前预装根证书，避免后续员工手动导入出现权限不足的问题。
后端资源访问权限边界预划分
很多部署基于TLS的VPN的团队上线前没有梳理内网资源的访问白名单，默认给所有接入终端开放全内网访问权限，相当于把核心业务区直接暴露给外部接入的终端，一旦员工的终端被入侵，整个内网都会面临风险。部署前要在核心业务区的防火墙侧先配置临时访问控制规则，只开放远程办公员工必须用到的OA、文档协作、业务查询系统的对应端口，其他内网资源默认全部拦截。
提前和企业现有的身份认证系统做对接，把AD域里已经划分好的部门用户组和VPN的访问权限做一一映射，不要后续临时手动创建独立VPN账号，避免后续员工离职时出现账号漏删、权限残留的安全隐患。
故障定位前置探针部署
部署前要在VPN服务节点的旁挂位置提前部署流量采集探针，针对TLS握手阶段的证书校验、密钥协商、加密套件协商三个核心环节做全量日志留存，后续如果出现用户连接失败的问题，不用再临时在生产环境开启抓包操作，直接调取探针日志就能快速定位故障点。
还要提前做小范围的模拟接入测试，覆盖不同操作系统、不同版本的终端设备，比如部分老旧的办公终端默认支持的最高TLS版本较低，如果VPN服务端强制开启高版本TLS协议，这类终端会直接连接失败，提前排查出这类兼容性问题，就不会上线后出现大面积用户无法接入的故障。
