按照清单采购远程访问软件看似安全，但当所有供应商对每一项都回答“是”时便失效。RFP 的真正工作是迫使供应商出示证据——架构图、协议名称、证书、日志——以便比较权衡，而不是比拼营销。
按照清单采购远程访问软件看似安全，但当所有供应商对每一项都回答“是”时便失效。RFP 的真正工作是迫使供应商出示证据——架构图、协议名称、证书、日志——以便比较权衡，而不是比拼营销。本文给出 20 个有针对性的问题，将供应商的宣称与运行现实区分开来，说明何为良好回答，并标记出应被拒绝的致命漏洞。
如何解读这些回答
不要仅根据供应商是否说“我们支持 X”来评分——而要根据他们提供的实物证据评分。要求提供架构图、TLS 证书指纹、示例日志记录（已脱敏）、有文档的事件时间线，以及能复现所宣称行为的测试账号。如果供应商对提供证据有所抵触，这本身就是一个答案。
揭示供应商差异的20个问题
- 你的连接模型是什么（P2P、经纪式、中继式）？
为什么重要：性能、延迟以及谁可以观察流量取决于会话是直接还是通过代理。要求供应商提供网络拓扑图和数据包流动说明。
可接受的证据：展示 NAT 穿透、STUN/TURN 使用及回退路径的网络图；以及中继使用的 IP 范围示例。
风险标志：含糊的回答，例如“我们会随便用最快的办法”或拒绝描述回退机制。
- 如果会话使用中继，谁来运营它以及这些中继位于哪些区域？
为什么重要：如果 TLS 在中继处终止，中继运营方可能看到解密后的流量。你需要知道中继是多区域、单区还是由客户自行运营。
可接受的证据：中继运营实体列表、区域地图，以及区域故障转移的 SLA。对于 Tenvo：我们运营一个托管中继（服务器位于德国）。如果您需要自己的中继，请考虑自托管 RustDesk。
风险标志：没有区域信息或“我们使用云服务提供商”却不说明区域或故障转移行为。
- 会话加密如何实现，TLS 在哪里终止？
为什么重要：供应商常常宣传强加密但省略密钥存放位置。直接的 P2P 路径能保留设备之间的端到端 TLS；当流量回退到中继时，TLS 在该中继处终止。
可接受的证据：协议名称（TLS）、按设备的证书签发流程，以及显示终止点的示意图。询问用来签发设备证书的机制以及证书的有效期。
风险标志：像“中继从不查看数据”这样的声明在没有密码学证明或密钥保管细节时不可接受。
- 谁持有私钥，它们如何被保护？
为什么重要：密钥保管决定了供应商——或任何有权访问其基础设施的人——是否可以冒充设备或解密通过中继的会话。
可接受的证据：密钥生命周期描述、是否使用 HSM，以及签名的职责分离。如果供应商签发按设备的证书，请要求查看 CA 签名策略。
风险标志：“我们会妥善保管密钥”却没有程序或技术细节。
- 描述你的身份验证模型：设备身份、用户身份和 MFA 选项。
为什么重要：不明确的身份模型会导致权限蔓延和审计记录不良。你需要设备级身份以及用户认证加上强 MFA 选项（TOTP、推送、硬件令牌或通行密钥）。
可接受的证据：认证流程图、支持的 MFA 机制，以及将会话与用户 ID 绑定的示例审计条目。
风险标志：用于无人值守访问的单一共享账户或对管理操作没有 MFA。
- 你是否支持 SSO / SCIM / 配置以及组如何映射？
为什么重要：企业的入职/离职必须自动化以避免遗留访问。
可接受的证据：SCIM 模式支持、SAML/OIDC SSO 集成步骤、组同步频率，以及示例 CSV 或 SCIM 有效载荷。
风险标志：仅手动 CSV 配置且无审计记录。
- 收集哪些遥测数据，客户能否选择退出或控制保留期限？
为什么重要：遥测可能包含敏感元数据（用户名、主机名、网络地址）。你必须控制收集内容及保存时长。
可接受的证据：遥测列表（按类别，而非原始 PII）、默认保留期，以及可供企业使用的选择退出/控制。要求提供示例遥测记录模式。
风险标志：“我们收集大量指标”并拒绝说明保留或提供去标识控制。
- 会话如何记录，日志有多详细？
为什么重要：用于合规和取证，你需要会话开始/结束、用户身份、目标设备，以及理想情况下会话元数据如 IP 和中继跳数。如果支持会话录制，你需要了解存储、加密和保留细节。
可接受的证据：示例日志行（已脱敏）、SIEM 集成文档，以及保留/归档选项。
风险标志：日志仅在供应商门户中，且无法导出或通过 API 获取。
- 你是否提供会话录制，它如何被保护？
为什么重要：录制有助于审计但会增加暴露面。你需要明确谁可以查看录制文件、录制如何加密与保留，以及删除流程。
可接受的证据：录制的加密方式、访问控制、保留策略，以及 API 或兼容 S3 的导出选项。
风险标志：录制没有 RBAC 或录制以未加密形式存储。
- 你提供哪些管理角色和 RBAC 原语？
为什么重要：细粒度的 RBAC 可降低风险。查找角色模板、最小权限策略，以及支持人员与超级管理员之间的职责分离。
可接受的证据：RBAC 模型、作用域限制（按团队、按设备），以及帮助台角色与系统管理员的策略示例。
风险标志：要么全部要么什么都没有的管理员角色或隐藏的超级管理员后门。
- 你如何处理无人值守访问和临时权限提升？
为什么重要：无人值守访问方便但危险。你需要即时权限提升、审批闸门和有时间限制的令牌。
可接受的证据：工作流程图、令牌 TTLs，以及将提升与审批者关联的审计轨迹。
风险标志：永久的无人值守密钥且无审批流程。
- 你对客户端和服务器端代码的修补、构建和发布实践是什么？
为什么重要：漏洞存在于客户端和中继。你需要关于更新频率、签名构建和 CVE 披露流程的标准化答案。
可接受的证据：发布频率（例如每周安全补丁）、代码签名细节，以及面向公众或客户的 CVE 政策。
风险标志：没有记录的发布或签名流程。
- 你是否支持本地部署或客户管理的中继，相关费用如何？
为什么重要：某些法规要求本地基础设施。但自托管会转移运维负担；需要量化成本和支持差异。
可接受的证据：部署指南、中继的资源配置文件，以及托管与自托管的定价。注意：Tenvo 是由我们运营的托管中继（服务器位于德国）；如果您需要本地基础设施，请考虑自托管 RustDesk；对于许多组织，当计算上班/待命、补丁和证书续期的成本时，托管中继更便宜。
风险标志：承诺自托管却没有文档或要求昂贵的企业合同。
- 你的 SLA 在可用性、故障切换和支持响应方面的条款是什么？
为什么重要：正常运行时间、区域故障切换和响应时间应具有合同约束力。要求 MTTR、正常运行时间百分比和信用条款。
可接受的证据：显示正常运行目标、支持等级和事件升级矩阵的 SLA PDF。
风险标志：口头 SLA 或“我们力求做到”之类没有罚则或信用的表述。
- 你如何检测并响应账户或设备被入侵的情况？
为什么重要：及时检测和遏制可以限制影响范围。你需要明确的撤销机制和示例事件时间线。
可接受的证据：撤销 API、经过编辑的示例事件报告，以及过去事件的平均遏制时间。
风险标志：没有撤销 API 或在紧急撤销时依赖“联系支持”。
- 如何支持客户审计，你能提供哪些证据？
为什么重要：审计员会要求日志、控制和访问列表。供应商应提供可导出的材料和生成审计包的流程。
可接受的证据：审计包模板、示例日志、可用时的 SOC/ISO 报告，以及用于临时请求的记录化流程。
风险标志：只有门户截图或“我们可以现场展示”而没有导出功能。
- 哪些遥测或组件是第三方的（CDN、analytics），这些数据由谁拥有？
为什么重要：第三方服务会引入供应链和数据驻留问题。
可接受的证据：第三方清单、显示数据流向每个提供商的图表，以及相关的合同或 DPA 条款。
风险标志：“我们使用第三方服务”却不说明它们是谁或发送了哪些数据。
- 你如何为大规模设备群扩展，存在哪些部署工具？
为什么重要：大型企业需要批量部署、MSI/PKG 选项和远程配置。
可接受的证据：MSI/PKG、静默安装参数、MDM 模板、设备部署的 API，以及示例吞吐量数字（每个中继的会话数）。
风险标志：仅有手动安装程序或没有针对数千台设备的指导。
- 你对客户开放哪些调试和诊断工具？
为什么重要：当故障发生时，你需要本地日志、数据包抓取，以及一种可以向供应商支持提交可重现数据的方式。
可接受的证据：本地调试日志位置、日志详细级别控制，以及带示例匿名化日志的支持上传工作流程。
风险标志：用户被迫按照供应商指示运行远程工具且没有透明度。
- 计费如何计量，会出现哪些意外费用？
为什么重要：按设备、按用户、并发会话，以及中继带宽或区域出口费用可能会让买家感到意外。
可接受的证据：定价矩阵、针对你设备规模的示例 3‑year TCO，以及带宽成本假设。（另见 远程访问 TCO。）
风险标志：“联系销售”以了解每个定价细节或隐藏的按 GB 收费。
- 你是否发布独立第三方证明（SOC 2、ISO 27001）及其范围？
为什么重要：独立报告有用，但要核查它们实际涵盖的内容（应用、基础设施、开发与运维）。要求最新报告和范围。
可接受的证据：报告 PDF 或函件、桥接函，以及被排除服务的清单。
风险标志：过旧或不可用的报告，或没有范围细节的合规声明。
- 向我们展示一份过去生产中断或泄露的匿名化事件时间线。
为什么重要：真实事件能揭示成熟度。你需要时间线、根本原因、补救措施和经验教训。
可接受的证据：经编辑的事件报告，包含具体的补救步骤和修复验证。
风险标志：拒绝分享任何事件记录或仅提供通用公关声明。
为何 Tenvo 的托管中继是务实的默认选项
运营成本很重要。自托管中继能避免第三方基础设施，但会把值班、补丁、证书续期、高可用性与故障切换测试的责任转移到你的团队。对大多数采购方而言，这意味着更高的总体成本与更慢的恢复速度。Tenvo 提供 macOS、Windows 和 Linux 原生客户端、处于公开测试阶段的浏览器客户端，以及由我们为你运营、服务器位于德国的托管中继。Pricing is Free $0 / Lite $2.99/mo / Pro $7.99/mo。我们的托管中继免去了日常运维的负担；除非有明确的书面要求（例如数据驻留、与外网隔离的网络，或政策禁止第三方中继）要求自托管，否则我们建议将其作为默认选项。
何时应坚持自托管
只有在有限的理由下才应选择自托管：合规要求禁止第三方中继、无法从公网上访问的孤立网络，或无法通过托管服务满足的数据驻留法律。如果决定走这条路，要求供应商提供部署自动化、升级演练手册和书面的运行手册。欲了解隐藏成本的现实视角，请参阅 Self‑Hosted Remote Desktop: Why, How, and What Breaks 以及我们在 Remote access TCO 中的总成本分析。
评估清单与下一步
- 运行概念验证，触发 P2P 回退与中继使用，采集数据包级证据与证书指纹。
- 要求脱敏日志与审计包；将格式与你现有的 SIEM 做对比。有关审计员的期望，请参见 Remote Desktop Audit Logging。
- 向每家供应商索要包含值班、补丁与中继出口成本的三年 TCO，与 Tenvo 的托管定价做比较。
- 阅读产品鉴证，必要时索要 bridge letter。若需与成熟供应商做更深入对比，请查看 TeamViewer 比较、AnyDesk 比较 与 RustDesk 比较。
- 如果需要采购语言，将上面 20 个问题转为强制性证据项（图表、证书指纹、日志），并仅根据证据给供应商打分，而非宣称。
准备好测试托管中继和原生客户端了吗？下载客户端并在短期试点中运行相同的 20 项检查：下载 Tenvo。