VPN隧道已经加密，为什么仍要检查终端和访问权限？

正确答案 A

隧道保护的是指定端点之间的通信，不能把一台已受感染的终端变干净，也不会自动扩大员工的业务权限，选A。网关通过认证，只能说明对应的认证环节通过了，不能替所有用户作授权决定。

按链路画出“分支终端—分支网关—总部网关—业务系统”。本题VPN建立在两台网关之间，不能仅凭隧道存在，就推断终端上的文件、网关外的全部链路或业务系统都安全。员工电脑上的恶意程序甚至可能利用获准通道发送请求，所以仍要做好终端防护与权限限制。隧道是逻辑通道，底层仍需真实网络承载，也不是租用专线的同义词。

选项分析

A

准确区分通道、终端和业务权限三层要求，没有把通信保护延伸成全系统安全保证。

B

逻辑隧道依赖已有网络传输，不会因建立VPN而自动获得一条独占的物理线路。

C

网关身份与员工业务权限不是同一个对象，认证成功不等于所有资源均可访问。

D

隧道建连并非终端恶意代码清除流程，不能凭连接状态判断终端已经安全。

再巩固一步

• 看到VPN先标出隧道端点；遇到“终端无病毒、权限全开放”这类结论，再检查有没有独立依据。