出差回国，公司电脑上的 VPN 为什么连不上？厂商白皮书和工信部文件原文

先说结论：**公司电脑上的 VPN 回国连不上、连上一会儿就断，不是你电脑的问题。**Cisco、Palo Alto、Fortinet 这几家的连接方式都写在公开说明书上，端口固定，设计时就没打算让人认不出来；做企业网络安全的 Zscaler 在中国白皮书里自己写着“不能保证性能和可用性”。正规的办法在公司那边：中国专用的版本，或者走运营商批准的跨境线路。出发前先问公司 IT。

打个比方：公司的 VPN 像一辆运钞车，锁很牢，可一看就是运钞车（不同 VPN 防的是谁，见国外 VPN 和国内 VPN 有什么区别）。下面是厂商文档、工信部文件和调查报告的原文，核对日期 2026 年 10 月 23 日。我们不讲任何绕过办法。

公司 VPN 用的是固定、公开的端口

产品	厂商文档写的协议和端口
Palo Alto GlobalProtect	TCP 443 走门户和 SSL 隧道；UDP 4501 走 IPsec 隧道；默认先走 IPsec，建不起来才退回 SSL
Fortinet FortiClient	SSL VPN 走 TCP 443；IPsec VPN 走 UDP 500 和 4500
Cisco Secure Client（原 AnyConnect）	先用 TLS 连，可以再开一条 DTLS，默认端口 443
Microsoft Always On VPN	IKEv2（UDP 500、4500），可以退回走 TCP 443 的 SSTP；设备隧道只支持 IKEv2
Cloudflare WARP	WireGuard 默认 UDP 2408；MASQUE 默认 UDP 443

归起来就三类：IPsec（UDP 500/4500）、SSL/TLS VPN（TCP 443，有的再叠一条 UDP 443）、WireGuard。WireGuard 官网的“已知局限”一页写着：“WireGuard does not focus on obfuscation.”（WireGuard 不负责伪装。）

这些产品的目标是加密牢，不是让人认不出来。具体是哪种封锁让它断的，没有论文或厂商专门测过企业 VPN，我们不下结论。墙一般怎么认翻墙流量，见墙怎么认出你在翻墙。

厂商自己写着在中国不保证

Zscaler 2023 年的白皮书《Zscaler in China》：

• “user experience may vary from site to site or even by time of day”：在中国，体验会因地点、甚至一天里的时段而不同。
• “Zscaler cannot guarantee performance or availability.”：不能保证性能和可用性。
• 选举、节假日、政治活动前后，连接会出现“erratic behavior”（表现不稳定）。

连厂商都不打包票，员工在酒店连不上就不奇怪了。

大公司怎么解决：给中国单独做一套

四家大厂的中国方案，结构都一样：境内持牌合作方承载，加上中国专用的版本，数据留在国内。

• Zscaler：China Premium Access，由 CBC、Zenlayer 等合作方提供，官方博客说“our partners are fully licensed to operate in China”。
• Cloudflare：2022 年的博客说，在中国 WARP 客户端通过 Cloudflare 的中国合作伙伴网络，把隧道连到中国大陆以外最近的节点。当时还在私测，现状我们没查到。
• Palo Alto：Prisma Access China 托管在中国，要买中国专用的 SKU，GlobalProtect 门户地址变成 prismaaccess.cn 结尾。
• Cisco：Secure Access China 由神州数码云（Digital China Cloud）运营，照样用 Cisco Secure Client，日志和数据留在境内。

运营商也卖这种服务。中国电信美洲公司的远程接入 VPN 页面写着“Bring your own VPN solutions”：企业自己的 VPN 软件，可以跑在电信的跨境线路上。

合不合规：看公司走的是不是批准过的线路

工信部 2017 年《关于清理规范互联网网络接入服务市场的通知》写着：“未经电信主管部门批准，不得自行建立或租用专线（含虚拟专用网络VPN）等其他信道开展跨境经营活动。“出租的国际专线，“仅供其内部办公专用”。

同一时间的工信部答记者问解释了外企怎么办：“外贸企业、跨国企业因办公自用等原因，需要通过专线等方式跨境联网时，可以向依法设置国际通信出入口局的电信业务经营者租用，《通知》的相关规定不会对其正常运转造成影响。”

所以合不合规，要看公司的流量走的是不是这种批准过的线路。**员工出差用公司 VPN 这种情况，文件里没有单独写，我们也没找到处罚案例。**最直接的办法是问公司 IT。

走了正规线路也不一定顺。中国欧盟商会 2019 年商业信心调查：用持牌供应商 VPN 的公司里，53% 说服务不稳定；不少公司出于安全顾虑，干脆没用持牌 VPN。

入境查不查公司电脑

国家安全部令第 3 号《国家安全机关行政执法程序规定》（2024-07-01 施行）第四十条：查验电子设备要“经设区的市级以上国家安全机关负责人批准，制作查验通知书”，紧急情况下出示人民警察证或侦察证可以当场查验；第四十一条要求“有被查验人或者见证人在场”。国家安全部 2024 年 5 月公开表态，查验对象“不能是无关人员，更不会是’普通入境人员’”。

海关、边检抽查入境旅客公司电脑的官方说明或一手报道，我们没找到。手机被要求解锁的情况另写过一篇：回国过海关被要求解锁手机，手机里有 VPN 怎么办。

有的公司自己更谨慎。路透社 2025 年 7 月转述彭博的报道：贝莱德要求去中国出差的员工用临时借来的手机，不带公司电脑，也不用 VPN 远程接入公司系统。路透写明没能独立核实。美国国家反情报与安全中心给出国人员的通用建议是：“If you can do without the device, don’t take it.”（用不到的设备就别带。）

出发前做三件事

1. 问公司 IT，有没有给中国准备的接入方式：中国版客户端、专用门户地址，或者运营商的跨境线路。
2. 工作用不到的电脑和手机，就别带。
3. **公司电脑上别自己装翻墙软件。**那是公司的设备，装了算在你身上；公司电脑上的监控软件能看到什么，见公司电脑装了监控软件，翻墙时它看得到什么。

常见问题

公司 VPN 在国内一定连不上吗？ 不一定。厂商的说法是“可能不稳定、不保证”，体验因地点和时段而不同。没有哪家厂商或论文说某个企业 VPN 协议在中国已经被封。

出差用公司 VPN 违法吗？ 文件只规定了企业跨境专线要走有国际出入口资质的运营商，没有单独说员工出差的情形，我们也没找到处罚案例。合不合规看公司的线路，问 IT。

连上公司 VPN 一会儿就断，换个时间会好吗？ Zscaler 白皮书写的就是“even by time of day”，时段不同体验不同；节假日和重大活动前后更不稳定。

回国手机收不到公司的双重验证短信怎么办？ 这是另一个问题，见回国收不到美国手机验证码，出发前把只靠短信的验证方式换成身份验证器或 App 推送。

资料来源

核对日期 2026-10-23。等级：A 官方原文，B 署名媒体报道。

内容	来源	等级
GlobalProtect 端口	Palo Alto 文档	A
GlobalProtect 默认先走 IPsec	Palo Alto 文档	A
FortiClient 端口	Fortinet 文档	A
Cisco Secure Client TLS/DTLS	Cisco 文档	A
Always On VPN	Microsoft Learn	A
WARP 端口	Cloudflare 文档	A
WireGuard 已知局限	wireguard.com	A
Zscaler in China 白皮书	zscaler.com（PDF）	A
Zscaler 中国合作方	Zscaler 博客 2022-08-05	A
Cloudflare One in China	Cloudflare 博客 2022-11-29	A
Prisma Access China	Palo Alto 文档	A
Cisco Secure Access China	Cisco 订购指南（PDF）	A
中国电信美洲远程接入 VPN	ctamericas.com	A
工信部 2017 年通知	网信办转载	A
工信部答记者问	网信办转载	A
欧盟商会商业信心调查 2019	europeanchamber.com.cn（PDF）	C
国家安全机关行政执法程序规定	安全内参转载	A
国家安全部回应“入境查手机”	中新网 2024-05-28	B
NCSC 出行建议	ODNI 归档页	A
贝莱德限制员工带设备去中国	路透（Yahoo Finance 转载）2025-07-22	B