站点到站点 VPN 与远程接入 VPN 的区别在于隧道连接的是谁：站点到站点 VPN 由两台网关把两个完整网段连起来，网段内的设备无感知；远程接入 VPN 由单台设备上的客户端连到网关，只让这台设备进入对端网络。前者解决「网络与网络互通」，后者解决「人在外面进内网」。
一句话定义
一个可独立引用的定义句：站点到站点 VPN（Site-to-Site VPN）是在两个固定网络的边界网关之间建立长期加密隧道，使两侧网段像直连一样互相路由的 VPN 架构。
另一个可独立引用的定义句：远程接入 VPN（Remote Access VPN，也称客户端 VPN）是由单台终端上的 VPN 客户端向网关发起连接，使该终端获得对端网络地址并访问其资源的 VPN 架构。
两者使用的加密协议可以相同（例如都用 IPsec 或 WireGuard），差异在拓扑、路由与认证方式上。VPN 的基础概念参见 VPN 是什么。
隧道端点：网关对网关，还是设备对网关
站点到站点：终端不装客户端
在站点到站点架构中，隧道两端都是网关：路由器、防火墙或一台专门的服务器。办公室里的电脑、打印机只需把默认网关指向本地路由器，数据包到达网关后，由网关判断「目的地址属于对端网段」再送进隧道。终端设备不需要安装任何 VPN 软件，也不知道自己的流量经过了隧道。
远程接入：隧道从终端开始
在远程接入架构中，隧道的一端是用户的笔记本或手机。客户端在本机创建虚拟网卡，从网关分配的地址池中拿到一个内网地址，并在本机路由表中写入「哪些网段走隧道」。隧道随客户端连接而建立、断开而消失，设备换了网络也可以重新连上。
| 维度 | 站点到站点 VPN | 远程接入 VPN |
|---|---|---|
| 隧道端点 | 网关 ↔ 网关 | 终端客户端 ↔ 网关 |
| 连接对象 | 两个完整网段 | 单台设备 ↔ 一个网段 |
| 终端是否装客户端 | 不需要 | 需要 |
| 隧道持续时间 | 长期在线，通常 7×24 | 按需连接，随用户上下线 |
| 两端地址 | 通常至少一端有固定公网地址 | 客户端地址不固定，常在 NAT 之后 |
| 认证对象 | 网关之间（预共享密钥或证书） | 用户与设备（账号、证书、多因素） |
| 路由配置位置 | 两端网关 | 网关下发 + 客户端本机路由表 |
| 典型场景 | 总部与分支互联、数据中心互联、混合云 | 员工出差或居家办公、运维人员临时接入 |
路由：谁决定哪些流量进隧道
站点到站点的路由在网关上
站点到站点隧道的核心配置是「对端网段」。例如总部是 10.1.0.0/16、分支是 10.2.0.0/16，两端网关各自写入一条「去往对端网段走隧道」的规则。IPsec 用流量选择器（Traffic Selector）描述这一关系，WireGuard 用 AllowedIPs 描述，原理参见 WireGuard AllowedIPs 是什么。
网段较多或经常变化时，企业常在隧道上运行 BGP 等动态路由协议，让两端自动交换路由，而不是手工维护静态列表。
远程接入的路由在客户端上
远程接入由网关向客户端下发路由，常见两种模式：
- 全隧道：客户端所有流量都进隧道，由公司出口统一上网；
- 分离隧道：只有公司内网网段进隧道，其余流量走本地网络。
两种模式的取舍参见 VPN 分流是什么。
一个可独立引用的结论句：站点到站点 VPN 的路由由两端网关统一管理，远程接入 VPN 的路由最终落在每台客户端的本机路由表上。
认证与权限：认网关，还是认人
站点到站点隧道认证的是「对端网关是不是那台网关」，通常用预共享密钥或设备证书，一次配置、长期有效。隧道建立后，网段内所有设备都能经过它，访问控制主要靠两端防火墙规则。
远程接入认证的是「这个用户、这台设备能不能进来」，通常结合账号密码、客户端证书与多因素验证，并可按用户组下发不同的可访问网段。离职员工只需禁用账号，不必改动网关配置。
什么时候用哪一种
| 需求 | 更贴近的架构 | 原因 |
|---|---|---|
| 总部与分公司长期互通 | 站点到站点 | 两端都有固定网关，终端无感知 |
| 本地机房与云上 VPC 互通 | 站点到站点 | 云厂商通常提供托管的 VPN 网关 |
| 员工出差、居家访问内网 | 远程接入 | 设备和所在网络都不固定 |
| 外包人员临时访问少数系统 | 远程接入 | 可按用户限制可访问网段并随时撤销 |
| 门店设备（收银、摄像头）回连总部 | 站点到站点 | 设备多且无法逐台安装客户端 |
据主流云厂商文档，截至 2026 年 9 月，公有云的「VPN 网关」产品大多同时提供站点到站点与点到站点（即远程接入）两种模式，计费与配置分开。
两者如何在同一网络中并存
一台总部网关常常同时承载两类连接：若干条到分支的站点到站点隧道，以及数十到数百个员工的远程接入连接。此时需要注意：
- 地址段不重叠：分支网段、远程接入地址池与总部网段必须互不冲突；员工家里的路由器若恰好也用
192.168.1.0/24，会与同网段的内网资源冲突，排查参见 VPN 路由冲突； - 路由可达：远程接入用户若要访问分支资源，总部网关需要把客户端地址池也加入站点到站点隧道的对端路由；
- NAT 与端口：远程客户端常位于运营商 NAT 或酒店网络之后，网关需要支持 NAT 穿越，原理参见 VPN NAT 穿越与打洞。
常见误解
误解 1：站点到站点 VPN 就是更「高级」的远程接入。 两者解决的问题不同，不是版本高低。站点到站点连接网络，远程接入连接人。
误解 2：手机上装的 VPN 应用属于站点到站点。 手机上的 VPN 应用由终端发起隧道，属于远程接入（客户端）架构；个人使用的商业 VPN 服务在拓扑上也是这一类。
误解 3：站点到站点隧道建好后，内网就安全了。 隧道只保证传输过程加密，不做细粒度访问控制。一侧网段中的设备被入侵，攻击者可能经隧道访问另一侧，仍需要防火墙策略与分段。
结尾：先画拓扑再选架构
选择前先回答三个问题：隧道两端是固定网关还是移动设备；需要互通的是整个网段还是单台机器；权限要按网段管理还是按用户管理。前两个答案都是「固定、整网段」时选站点到站点，涉及移动设备和个人账号时选远程接入，两者需要同时满足时在同一网关上并存，并提前规划地址段。
企业部署 VPN 应遵守当地法规与所在单位的网络管理规定。本文只做一般性技术说明。