03
零信任安全
ZTNA · 访问控制 · VPN 替代 · SASE
VPN 的模型是"进了内网就可信"，一旦凭证泄露，攻击者拿到的是整张内网。零信任反过来：每次访问都要验证身份、设备和上下文，默认不给网络级访问，只给应用级授权。对有海外团队和外包协作的公司，这不只是安全升级，也是运维成本的下降。
如果你正在遇到这些
- 员工、外包、供应商都通过 VPN 访问内部系统，权限难以细分
- VPN 客户端体验差，海外连接经常掉线，IT 工单里一半是网络问题
- 内部系统直接暴露在公网，只靠一个登录页挡着
- 无法确认访问者的设备是否合规（补丁、杀毒、磁盘加密）
- 有人离职或外包结束后，访问权限回收不及时
- 多地办公后，访问审计和合规举证越来越难
我们能做什么
身份与设备态势
对接企业 IdP（Okta、Entra ID、Google 等）做 SSO 与 MFA，叠加设备合规检查作为访问条件。把"谁能访问"和"用什么设备访问"绑在一起判断。
边界与前提
- 零信任解决的是访问控制，不解决终端安全本身——设备合规检查依赖终端侧的agent或MDM配合
- 依赖非 Web 协议（部分 C/S 架构、自定义端口）的系统需要单独评估，可能仍需保留网关或隧道方案
- 身份源的质量决定了这套体系的上限：如果 IdP 里账号本身是混乱的，迁移前需要先做账号治理
- 切换期通常会并行运行 VPN 一段时间，不要计划一次性切换
常见疑问
和 VPN 比，实际差别在哪？
VPN 给的是网络级访问，进来就能横向移动；零信任给的是应用级授权，看不到也够不着其他系统。体验上，用户不再需要连到总部出口绕一圈，海外接入通常更快更稳。
内部系统要改造吗？
大多数 Web 应用不需要改，通过身份感知代理接入即可。需要改的通常是硬编码 IP 白名单、自定义协议客户端，以及假设"内网即可信"的鉴权逻辑。
会不会让 IT 更麻烦？
初期有学习成本，但长期是减负：权限跟着身份走而不是跟着网络位置走，入职离职自动化，VPN 客户端相关的工单会明显减少。