定义
VPN（Virtual Private Network，虚拟专用网）指通过加密隧道在公网（如互联网、蜂窝网络）上建立私有网络的技术，实现远程 终端 与内网的安全互通。VPN 保障数据传输的机密性、完整性，适用于物联网设备接入企业 内网、充电平台 专网、设备管理平台 等场景。
与 子网、虚拟化 结合，VPN 可实现多项目、多地域的虚拟专网。跨境物联网设备需通过 VPN 安全接入国内或海外平台，一卡多国 保障漫游时的 VPN 持续连接。
技术特点与架构
VPN 架构包括：隧道协议——IPsec、SSL/TLS、WireGuard；认证——证书、强认证、预共享密钥；加密——AES、ChaCha20；接入——站点到站点、客户端到站点。物联网设备可采用 IoT VPN、L2TP、IPsec 等接入。与 批量开卡 配合，可批量配置 VPN 参数。跨境 VPN 需考虑多国网络、防火墙、合规。
跨境场景下，VPN 需支持多地域接入点、低延迟、多运营商兼容。
在物联网与跨境场景中的应用
VPN 广泛应用于：充电桩——充电站 设备接入 OCPP 专网；工业——产线设备接入企业内网；远程运维——运维人员安全接入设备；物流——车载终端接入调度平台。跨境充电网络、海外工厂、全球物流等场景均依赖 VPN 实现设备安全接入与数据保护。
达希物联为 VPN 接入设备提供覆盖 200+ 国家的连接，支持 一卡多国，助力跨境安全组网。
加密隧道相对蜂窝承载的位置
国际物联网里的 VPN，是铺在蜂窝公网之上的加密隧道，不是另一张无线网。设备必须先在拜访网络完成附着并维持分组承载，隧道才有地方落脚。承载提供的是能到达对端的地址和转发，隧道提供的是机密性、完整性，以及把设备看成内网一员的那一个地址。两层同时存在时，外层地址会随漫游、重新附着和地址转换而变化，内层地址才是业务系统应该识别的对象。只记录外层地址，远程登录和审计都会在切换之后指向错误的现场。
站点到站点和终端到网关，在跨境设备上不是同一种打法。充电桩、网关这类现场节点，通常要由设备主动向中心发起，因为物联网地址多半不能被外网主动连入。网关若仍假设设备地址固定、由中心去拨设备，漫游之后源地址一变，协商就会停在第一轮。隧道加密的是进入隧道的业务报文，不加密无线空口上的附着和寻呼。空口被干扰时，密码套件再强也无济于事，排查不能只盯着算法名称。
隧道能够建立的网络前提
建隧道之前，承载、可达性和报文尺寸要分别过关。承载侧要确认访问点允许访问隧道对端，而不是只允许访问某一家云的默认地址。拜访网络若拦截协商所用的端口，设备会表现为信号正常、业务不通。蜂窝链路的最大传输单元往往小于以太网默认值，再套一层隧道头之后，若不处理路径发现或分片，就会出现小包能通、业务大包全部失败。这种失败和卡未激活很像，但注册状态是好的，应先看报文是否在某一长度之后消失。
身份材料要和漫游生命周期对齐。证书或预共享密钥过期、设备时钟因长期断电而偏离，都会让协商停在身份阶段。跨境设备的时钟不能只靠出厂时校准一次。入网开通时写进设备的对端地址，必须是从拜访网络出口真正能够访问的地址；写成本国办公网才认识的内网名，出境后解析和路由都会落空。隧道里若承载敏感数据，加密只解决传输路径，不解决平台上的存储位置和账号权限，两边要分开验收。
隧道中断时最先该看的层次
隧道一断，最容易把责任全部推给卡。更稳妥的顺序是从外向内：先看设备是否仍注册、是否仍握有地址，再看对端地址是否还能从当前出口到达，最后才看密钥、感兴趣流和内网路由。漫游切换会让外层地址变化。若隧道协议没有跟随外层地址更新，旧的安全关联会变成黑洞，业务侧只看到超时。保活间隔若按有线专线的习惯设得很密，在蜂窝上会变成持续的小流量，既耗电也占额度，还会在覆盖变差时把协商打得更碎。
全隧道和分割隧道也会配错。全隧道把设备所有报文都拉回远处网关，域名解析、时间同步甚至管理面都绕远，时延和流量一起上升。分割隧道若把业务网段漏掉，设备看起来隧道已连接，指令却仍走公网，安全策略等于没有生效。另一处差错是在隧道内再套一层地址转换，使平台看到的源地址和设备内层地址对不上，审计和远程登录会指向错误的现场。处理时保留外层注册日志和隧道协商日志，不要只留一条隧道断开的结论。