零信任 / SASE
Cloudflare Access（零信任访问）
用身份和设备状态替代 VPN 的「内网即信任」模型，员工访问内部应用前先验证身份、设备态势与上下文。
Cloudflare Access（零信任访问）
它解决什么问题
VPN 的问题不是“不安全”，而是“一旦进去就全通”。凭证泄露、设备被控、内部横向移动，都源于这个模型。VPN concentrator 还会在远程办公高峰被打满，成为性能和可用性的单点。
Access 的做法是把访问控制下移到每一次请求：用户访问每个应用时，都要通过身份提供商验证，并附加设备态势、地理位置等上下文判断。
落地路径
- 接入身份源：对接企业已有的 IdP（Azure AD、Okta、Google Workspace 等）。
- 保护应用：通过 Cloudflare Tunnel 把内部应用暴露到 Cloudflare，无需开放入站端口。
- 定义策略：按“谁 + 什么设备 + 在什么上下文下可以访问哪个应用”来写规则。
- 逐步替换 VPN：先拿非核心应用试点，再扩大范围。
需要注意
- 设备态势检查依赖 WARP 客户端部署，终端覆盖率决定策略有效性。
- 老旧的 C/S 架构应用、非 HTTP 协议可能需要额外处理。
- 策略设计是主要工作量，不是技术部署。
我们的建议
不要试图“一次性替换 VPN”。选 3-5 个内部 Web 应用做第一期，跑满一个月，把策略颗粒度和用户体验调优后，再考虑扩大。