鸿蒙OS企业内网VPN：如何设置白名单？

午后的阳光透过落地窗，在会议室的长桌上投下细碎的光斑。李薇揉了揉发胀的太阳穴，面前的笔记本电脑屏幕上，那封来自集团总部的紧急邮件还亮着红色感叹号——“关于鸿蒙OS企业内网VPN白名单配置的紧急通知”。

三小时前，公司财务总监在内部通讯群里发了一条语音，声音里带着少有的焦躁：“小李，你赶紧看看，咱们的ERP系统怎么突然连不上总部服务器了？还有，那个……那个叫什么‘数字资产结算模块’的，也打不开了！”李薇是IT部的骨干，她知道，这不仅仅是网络故障。就在上周，公司刚宣布将部分供应链结算数据迁移到基于鸿蒙OS的分布式架构上，并接入了一个用于内部流转的“积分通证”系统——说白了，就是把一部分供应商的应付账款，变成了可以在内部生态里流转的加密凭证。这事儿在圈子里传得沸沸扬扬，有人说是创新，有人说是变相发币。

问题就出在这个“积分通证”系统上。它需要访问一个特定的内部节点，而那个节点，只允许通过VPN白名单内的IP地址访问。集团总部这次下了死命令，要求所有子公司必须在48小时内完成鸿蒙OS企业内网VPN的白名单设置，否则将暂停该子公司的“通证”兑换权限。

李薇深吸一口气，她知道自己必须写一份清晰的操作指南，但更重要的是，她得先搞懂这次鸿蒙OS的VPN白名单和以前安卓、Windows上的设置有什么不同。她打开技术文档，一边看，一边在心里骂娘——这鸿蒙的分布式软总线特性，让VPN的权限管理变得更“智能”了，但也更“玄学”了。

h2: 为什么鸿蒙OS的VPN白名单让你“抓瞎”？

李薇想起去年在安卓设备上设置VPN白名单，无非就是进入“设置-WLAN-高级设置-VPN”，添加一个PPTP或者L2TP/IPSec PSK的服务器地址，然后在下方的“允许的应用程序”里勾选几个App。简单粗暴。

但鸿蒙OS不一样。它引入了“超级终端”和“分布式任务调度”的概念。你手机上的ERP客户端，可能并不是运行在手机本地，而是通过分布式能力，调用了一台闲置的平板上安装的“轻量版”组件。这意味着，你设置白名单时，如果只勾选了手机上的ERP主程序，那么当系统自动调度到平板上的辅助组件进行数据交换时，那个组件的网络请求不会经过你设定的VPN通道，或者更糟，它会走一个未加密的直连通道，直接被总部防火墙拦截。

“这就是为什么你明明连上了VPN，但‘通证’系统还是提示‘无法访问节点’。”李薇在给部门新人的培训笔记里写道。她决定用一场“现场演示”来让新人理解，而不是干巴巴地念文档。

h3: 第一步：分清“设备级”与“应用级”白名单的博弈

李薇把新人小张叫到工位前，打开自己的鸿蒙MatePad Pro。

“小张，你看好了。以前的VPN，是设备级加密，手机所有流量都走隧道。但鸿蒙OS的VPN，默认是应用级分流。你需要在‘VPN’设置里，找到‘分应用VPN’选项。”

她点开设置，进入“更多连接 > VPN”，选择“添加VPN配置”。在“类型”下拉菜单里，除了传统的IPSec Xauth PSK，她特意选择了“鸿蒙分布式VPN（基于OpenSSL）”。

“这里有个关键点，”李薇指着屏幕上的“应用白名单”一栏，“你必须把‘供应链金融-通证钱包’、‘ERP-移动审批’以及‘分布式文件服务’这三个App全部勾选。注意，那个‘分布式文件服务’是系统级的，平时你看不到图标，但它负责处理跨设备的文件流。如果不勾选它，当通证系统需要读取一份存在你手机里的PDF合同时，数据就会从VPN隧道外面‘飞’出去，裸奔到总部服务器，直接被判定为非法请求。”

小张似懂非懂地点点头，李薇接着说：“但光勾选App还不够。鸿蒙有个‘智能家居’般的逻辑——它会把你的手机、平板、甚至办公室的智慧屏组成一个‘超级终端’。你在这个平板上勾选了白名单，但如果你的手机同时登录了同一个华为账号，手机上的那个‘通证钱包’App，可能会被系统判定为‘另一个设备’。”

h3: 第二步：必须处理“分布式节点”的IP绑定

李薇调到手机端，打开“设置 > 华为账号 > 云空间 > 设备管理”，指着“当前在线设备”列表说：“你看，我的手机和平板都在线。鸿蒙OS的VPN白名单，默认是按设备MAC地址+账号ID双重绑定的。如果你只把平板的MAC地址发给总部IT，但你的手机在办公室用Wi-Fi连接时，系统为了‘协同计算’，可能会把平板的VPN连接状态‘共享’给手机。这时候，总部服务器看到的请求来源IP，是你们公司出口路由器的公网IP，而不是你VPN分配的虚拟IP——这就会被白名单拒绝。”

“那怎么办？”小张问。

“这就涉及到‘白名单’的另一种理解。总部要求我们设置的，不仅仅是客户端App的白名单，还要在企业内网防火墙上，设置一个针对‘鸿蒙分布式网关’的IP段白名单。”李薇打开了一个命令行终端，模拟登录公司核心交换机。

“听着，小张，我们公司用的是华为USG系列防火墙。你需要登录进去，在‘安全策略 > 地址管理’里，新建一个地址组，命名为‘HarmonyOSVPNPool’。然后，把鸿蒙VPN服务器分配的虚拟IP地址段，比如 10.10.50.0/24，加进去。最关键的一步，是在‘高级设置’里，勾选‘允许跨设备会话保持’。”

李薇敲下一行命令，屏幕上滚动过几行代码：

[FW] ip address-set "HarmonyOS_VPN_Pool" type object [FW] address 10.10.50.0 mask 24 [FW] quit [FW] security-policy [FW] rule name allow_harmony_vpn [FW] source-zone untrust [FW] destination-zone trust [FW] source-address address-set "HarmonyOS_VPN_Pool" [FW] action permit [FW] session aging-time 3600

“看到没？session aging-time 3600，这是关键。因为鸿蒙的分布式任务会频繁切换设备，如果会话超时时间太短，你刚在平板上打开一个审批流，手机上的通证钱包需要同步状态，结果上一次的会话已经被防火墙‘忘记’了，新的连接请求因为不在白名单（因为源IP可能变成了手机的虚拟IP，但手机没在防火墙的地址组里）而被拒。”

h3: 第三步：别忽略“数字资产”的域名白名单

李薇喝了口水，语气变得严肃起来。

“小张，你以为搞定IP就完事了？错。这次的‘积分通证’系统，它的后端服务是放在一个内网域名下的，比如 token.gongyingshui.local。在鸿蒙OS里，VPN白名单除了IP，还支持域名白名单。但是，鸿蒙的DNS解析逻辑有点特殊。”

她打开手机上的“设置 > 网络 > 私人DNS”，说：“鸿蒙默认使用系统自带的DNS，但你一旦连接了VPN，它会强制走VPN服务器提供的DNS。如果总部IT那边，没有在VPN服务器的DNS解析记录里，把 token.gongyingshui.local 这个域名解析到内网地址，而是错误地解析到了公网IP，那么你的App请求就会发到公网去，然后被黑洞。”

“所以，你需要在VPN配置的‘高级选项’里，找到‘内网域名后缀匹配’，手动添加 .gongyingshui.local 和 .huawei.internal。这样，只要是域名结尾是这些后缀的请求，才会走VPN隧道。否则，像 www.baidu.com 这种请求，就直连本地网络，不占用VPN带宽。但问题来了——如果你忘了加这个后缀，而通证系统又调用了某个子域名 assets.gongyingshui.local，那么它就会因为不在匹配规则里，被系统判定为‘公网请求’，从而绕过VPN，直连公司出口——结果就是，防火墙一看，源IP是公司公网IP，但请求的是内部域名，直接当成DNS Rebinding攻击给拦了。”

“卧槽，这么坑？”小张忍不住爆了句粗口。

“坑的还在后面。”李薇苦笑一下，“总部要求我们设置‘基于时间的白名单’。因为‘通证’系统每天凌晨2点会对账，那时候需要开放一个临时的管理端口。但鸿蒙OS的‘超级终端’有个特性，如果你在凌晨2点没有主动解锁设备，系统会为了省电，把VPN的‘保活连接’挂起。这时候，如果你在防火墙上的白名单规则是‘永久生效’，那没问题。但如果你为了安全，设置了‘仅在业务时间生效’，比如早8点到晚8点，那凌晨的对账请求就进不来了。”

她敲了敲桌子：“所以，我建议你在防火墙规则里，把针对鸿蒙VPN的这条白名单，设置为‘基于应用优先级’，并且勾选‘允许系统级服务绕过省电模式’。这个选项藏在防火墙的‘对象 > 应用识别 > 鸿蒙分布式组件’里。”

h3: 第四步：实战演练——用“热插拔”测试白名单

李薇看了看时间，距离总部规定的截止时间还有6小时。她决定让小张实操一下。

“小张，你现在把手机从超级终端里‘解绑’，然后单独用手机连接VPN，访问一下通证钱包。”

小张操作了一番，屏幕上弹出一个红色的错误码：“VPN连接成功，但无法访问 10.10.50.101:8443”。

“看，这就是问题。”李薇指着错误码说，“你的VPN虚拟IP是 10.10.50.88，但钱包App请求的服务器是 10.10.50.101。为什么被拒？因为我们在防火墙的‘白名单’里，只允许了 10.10.50.0/24 这个网段访问 8443 端口。但是，鸿蒙OS的‘分布式安全’机制，会给每个App分配一个‘临时令牌’。当钱包App请求服务器时，它会先向一个‘认证中心’（通常是VPN网关本身）申请令牌。如果VPN网关上的‘白名单’没有包含这个App的‘包名哈希值’，它就会拒绝发放令牌。”

“那我是不是要去VPN服务器上，把App的包名加进去？”小张问。

“没错。但更简单的方法，是直接在鸿蒙OS的VPN配置里，开启‘信任所有系统应用’。”李薇顿了顿，“不过我不建议你这么做，因为这会让你手机上的所有App都走VPN，包括那些恶意软件。更好的办法，是使用鸿蒙的‘**应用锁’功能，把通证钱包锁定，然后单独为它设置一个‘专属VPN’。”

她边说边操作，在VPN配置界面，长按“通证钱包”的图标，选择“高级 > 绑定VPN”，然后选择之前创建的“HarmonyOS_VPN”配置。

“这样，这个App就只会走这个VPN，而且系统会为它分配一个固定的虚拟IP，而不是每次连接都随机分配。你把这个固定的虚拟IP（比如 10.10.50.200）告诉总部IT，让他们在防火墙的白名单里，精确到IP+端口+协议，而不是整个网段。”

小张恍然大悟：“原来白名单不是越宽越好，而是越‘智能’越好。”

h3: 第五步：应对“虚拟币”监管的审计白名单

李薇压低声音，说：“小张，最后一点，也是最敏感的。咱们这个‘积分通证’，虽然内部叫积分，但因为它可以在几个大供应商之间流转，性质上接近‘虚拟币’。总部法务要求，所有访问该系统的操作，都必须留痕。所以，我们在VPN白名单里，还需要设置一个‘审计日志白名单’。”

她打开防火墙的“日志 > 会话日志”，说：“这里有个选项，叫‘记录所有匹配白名单规则的会话’。你必须勾选，并且把日志发送到SIEM系统。但是，鸿蒙OS的隐私保护很严格，默认情况下，VPN日志里不会记录App的‘包名’，只记录IP和端口。如果监管来查，问你‘这个IP地址的8443端口流量是哪个App发的？’你没法回答。”

“那怎么办？”

“你需要开启鸿蒙OS的‘可追溯性标识’功能。在VPN配置的‘元数据’里，有一个‘自定义标识符’，你填上‘COMPLIANCE-2024-TOKEN’。这样，防火墙日志里，每一条会话记录，都会带上这个标识符。而且，鸿蒙OS会把‘设备ID + 用户账号 + 时间戳’打包成一个加密的‘水印’，嵌入到数据包的TOS字段里。虽然防火墙看不到内容，但能看到这个水印，从而证明这条流量是经过授权的。”

李薇在命令行里输入最后一条命令：

[FW] firewall log session enable [FW] firewall log session filter source-address 10.10.50.0/24 [FW] firewall log session filter application "HarmonyOS_Distributed" [FW] firewall log session filter custom-tag "COMPLIANCE-2024-TOKEN"

“搞定。”李薇长舒一口气，靠回椅背上，“现在，你回一条消息给总部，就说白名单已配置完成，包含IP段、域名后缀、应用包名哈希、以及审计水印。顺便提醒他们，下个月鸿蒙OS会更新到Next版本，到时候‘分布式VPN’的会话保持机制会变，需要重新验证。”

小张崇拜地看着她：“薇姐，你怎么懂这么多？”

李薇指了指桌上的那杯已经凉透的咖啡，说：“因为上周我为了调通这个破系统，连续加了三天班，把华为的开发者文档翻了个底朝天。你以为虚拟币是那么好赚的？光一个白名单，就能让IT运维掉一层皮。”

窗外，夕阳已经西沉。李薇的手机屏幕亮起，是财务总监发来的消息：“小李，通证系统能登进去了！干得漂亮！”李薇回复了一个微笑的表情，心里却在想：这白名单是设好了，但明天，那个‘通证’的汇率波动，又该让财务部的人头疼了。而她，只希望今晚能睡个安稳觉，不用再梦见那些该死的IP地址和端口号。