始终开启 VPN：常见问题
- 阅读
- 0 分钟
- 类别
- Proton VPN for Business
始终开启 VPN 是 Proton VPN for Business 的一项功能，允许您在整个组织中强制使用 VPN。
在这篇支持文章中，我们解答了一些常见问题。
始终开启 VPN 的工作原理
始终开启 VPN 有什么作用？
在已部署个人资料的设备上，用户必须连接到 Proton VPN 服务器才能上网。在连接之前，设备无法访问互联网。强制执行在设备级别而非帐户级别应用，这意味着无法从应用内部绕过，并且在注销和重启后依然有效。
用户可以将其关闭吗？
无法通过应用关闭。没有开关，而且由于强制执行与设备而非用户会话绑定，因此在注销和重启后依然处于启用状态。要移除它，现实的方法只有删除设备个人资料或卸载应用，而这正是您的 MDM 的用途所在：它负责部署个人资料，并限制用户移除个人资料的权限。
员工仍然可以选择自己的服务器吗？
可以。用户可以在可访问的共享服务器和网关之间自由切换，只是不能完全断开连接。
始终开启 VPN 支持拆分隧道吗？
不支持。始终开启会将所有流量都引导通过 VPN，因此在启用期间，拆分隧道功能处于停用状态。
重启、休眠和 OS 更新后，它仍然有效吗？
是。
平台和套餐
支持哪些平台？
目前仅支持 Windows。其他平台的支持已在计划中。
哪些套餐包含该功能？
VPN Professional、VPN + Pass Professional 和 Workspace（任意层级）。
需要特定的应用版本吗？
需要。目标设备上必须安装 Proton VPN for Windows 5.3.0 或更高版本。目前只能通过始终开启配置面板获取（前往 VPN → 始终开启 VPN → 说明）。
部署
使用此功能需要 MDM 吗？
实际上，需要。从技术上讲，没有 MDM 也可以部署——有 PowerShell 脚本和手动复制文件的方法——但 MDM 扮演着两个至关重要的角色：将个人资料部署到设备，以及防止个人资料被用户篡改或移除。
它兼容哪些 MDM？
任何 MDM 都可以。个人资料只需投放一个文件，外加一个可选脚本，因此任何能够推送文件或运行脚本的 MDM 都可以使用。
可以只应用于部分团队，而不应用于其他团队吗？
可以。只需使用您的 MDM 将个人资料定向到特定用户或群组即可。
它适用于 BYOD（自带设备）或个人设备吗？
可以，但强制执行效果会减弱。在非受管设备上，您无法阻止用户卸载应用或删除个人资料，事后也无法远程移除个人资料。
如何验证设备上确实启用了强制执行？
无法通过我们的门户进行验证。验证依据是您 MDM 的部署报告，或确认设备上存在该个人资料文件。
身份验证
它支持 SSO 吗？
目前尚不支持。不过，完整的 SSO 登录支持即将推出。
已知限制
如果 Proton 发生故障会怎样？
强制执行本身不依赖于我们的后端；它在设备的 OS 级别运行，无论发生什么都能继续工作。但是，如果 VPN 无法与 Proton 服务器建立连接，设备将无法访问互联网。
我的员工经常出差，酒店和机场的网络会造成问题吗？
强制门户网络（常见于酒店和机场）可能会阻止设备联网，这可能会让经常出差的人员感到困扰。我们正在开发一项功能，允许管理员批准临时断开连接，以应对这种情况。但目前来说，将部署推迟到经常出差的用户是唯一的解决方法。
管理个人资料和故障排除
员工离职时会发生什么？
请先移除设备个人资料或应用，然后再取消配置用户。如果在个人资料仍处于强制执行状态时取消配置，用户将无法登录，设备将在没有 VPN 连接的情况下保持离线，并且您可能会失去远程访问设备进行修复的能力。更多详细信息，请参见此处。
我在门户中更改了一项设置，但用户设备上没有任何变化。为什么？
这是正常现象。个人资料是一个静态文件，因此只有在已更新的个人资料部署到设备后，强制执行才会生效。
我在门户中删除了个人资料，但员工仍然无法访问。为什么？
这同样是正常现象。在门户中删除个人资料会生成一个移除脚本；它不会自行到达设备。只有当通过 MDM、移除脚本或手动方式从设备上移除个人资料文件后，强制执行才会停止。
个人资料被误装到了个人设备上。
请从该设备上将其移除。用户在应用中执行的任何操作都无法将其移除，因为它位于设备级别，注销后依然存在。在未受管理的设备上，这意味着需要使用移除脚本，或在用户的配合下手动删除个人资料。
如何在不为所有人关闭强制执行的情况下豁免单台设备？
请通过您的 MDM 进行管理。只需不再以该设备为目标，并从中移除个人资料文件即可。
设备处于离线状态且无法访问。
用户将设备连接后，设备即可上线，之后便可像平常一样通过 MDM 移除个人资料。