第五章 以零信任重新构想 VPN

虽然虚拟专用网（Virtual Private Network，VPN）已经十分普遍，但许多组织正在寻找更好的解决方案，以便将日益远程化、移动化的员工安全地连接起来。本章将介绍零信任网络访问（Zero-Trust Network Access，ZTNA）如何比传统 VPN 提供更强的安全性、更精细的控制和更好的用户体验。

本章概要：

• 认识虚拟专用网的局限性
• 了解零信任网络访问
• 使用零信任网络访问改善远程访问安全与用户体验

告别 VPN

长期以来，VPN 一直是远程访问企业网络的事实标准，但它存在一些严重问题，特别是在安全方面。全球疫情导致远程办公迅速普及，也让传统 VPN 的局限性再次受到关注。

对于依靠传统 VPN 保护远程员工和家庭办公室的组织而言，其缺点包括：

• VPN 采用已经过时且低效的基于边界的安全方法。 用户通过 VPN 客户端连接企业网络后，往往可以广泛访问网络上的所有资源。这样近乎不受限制的访问，会使企业网络的其余部分暴露于以终端为攻击向量的威胁之下。启用拆分隧道后，用户连接企业网络的同时，可以不经过企业防火墙直接访问互联网。如果允许用户在可能已经受感染的个人设备上安装 VPN 客户端，企业网络发生数据泄露、勒索软件攻击或恶意软件感染的风险将成倍增加。
• VPN 无法洞察其传输的流量。 在酒店、咖啡店或家中办公时，VPN 通过加密隧道连接企业网络。该隧道可防止网络犯罪分子窥探会话，但也使安全控制无法检查流量。由于大多数家庭办公室和公共热点连接的网络基本没有安全保护，网络犯罪分子很容易利用社会工程手段和恶意软件发起攻击。
• VPN 并非为当今高度分布式的网络资源而设计。 应用程序和数据如今分布在企业数据中心、多云环境以及各个分支机构和家庭办公室中。大多数 VPN 解决方案并非为管理这种复杂程度而设计。VPN 连接会将所有流量回传到企业网络进行检查，这不仅占用大量带宽，还会增加延迟。拆分隧道可以改善这一低效问题，却会带来前文所述的另一组挑战。

为当今企业构建安全的远程连接

ZTNA 不仅提供比传统 VPN 更好的远程访问方案，还能解决应用程序访问问题。ZTNA 的出发点是：位置并不代表信任。用户或设备的物理位置并不重要；任何用户都可能实施恶意行为，任何设备都可能遭到入侵。ZTNA 正是基于这一现实。

注

Remember

只有在用户和/或设备通过身份认证后，ZTNA 才会按会话授予对单个应用程序和工作流的访问权限。用户必须经过验证和身份认证，确认有权访问应用程序之后才能获得访问权限。每次访问应用程序时，系统也会检查设备，确保其满足应用访问策略。授权过程会使用多种上下文信息，包括用户角色、设备类型、设备合规状态、位置、时间，以及设备或用户连接网络或资源的方式。

使用 ZTNA 时，用户与设备经过适当的身份认证后（例如结合使用多因素身份认证（MFA）和终端验证），即可安全连接网络，并以最小权限访问所请求的资源。最小权限原则意味着，用户和设备只能访问完成获授权任务或职能所需的应用程序或资源，除此之外不能访问任何其他内容。

访问控制并不会止步于接入点。ZTNA 围绕身份运行，而不是保护网络中的某个位置，因此策略可以端到端地伴随应用程序和其他事务。ZTNA 通过建立更高级别的访问控制，为最终用户提供更高效的解决方案，并在需要的任何位置实施策略。

提示

与传统 VPN 不同，ZTNA 身份认证过程虽然规定了身份认证检查点，却不限定具体的认证方式。实施新的或不同的身份认证解决方案时，可以将其无缝加入 ZTNA 策略。

目前，实施 ZTNA 主要有两种方式：

• 客户端发起的 ZTNA：这种模式有时也称为终端发起的 ZTNA，最初被称为软件定义边界，基于云安全联盟（Cloud Security Alliance，CSA）架构。该方式使用安装在设备上的代理创建安全隧道。用户希望访问应用程序时，代理会收集用户身份、设备位置、网络和正在使用的应用程序等信息，并建立风险画像以评估整体安全态势。随后，代理通过代理连接与应用程序建立连接；如果风险画像符合组织的策略要求，便向该用户和设备授予本次会话的应用访问权限。应用程序既可以部署在本地，也可以托管在云中。使用客户端发起模式的挑战在于，如果没有集中管理解决方案协调部署与配置，管理设备代理会成为 IT 团队的负担。此外，非受管设备需要通过网络访问控制器（NAC）等其他方式处理。
• 服务发起的 ZTNA：这种模式使用反向代理架构，有时也称为应用程序发起的 ZTNA。它基于 BeyondCorp 模型，与客户端发起模式最大的区别是无需安装终端代理，而是使用浏览器插件创建安全隧道并执行设备评估和安全态势检查。其主要缺点是仅限云端应用。由于应用程序必须使用超文本传输协议（HTTP）或安全超文本传输协议（HTTPS），此方法仅支持 Web 应用，以及基于 HTTP 的安全外壳协议（SSH）或远程桌面协议（RDP）等协议。虽然少数新供应商正在提供更多协议支持，但该模式并不适合同时拥有云端与本地应用的混合型企业。

注意

组织应谨慎选择能够与现有基础设施集成的 ZTNA 解决方案。构建完整的 ZTNA 解决方案需要客户端、代理、身份认证和安全等多种组件。这些解决方案通常由不同供应商提供，其组件可能运行在不同操作系统上，并使用不同的管理与配置控制台，因此跨供应商建立统一的零信任模型可能非常困难，甚至无法实现。

了解零信任网络访问的优势

采用零信任安全方法是一个涉及众多系统的过程，一些组织可能需要数年才能全面实施。不过，从解决远程访问问题入手，是实施零信任安全模型的良好第一步。与传统 VPN 相比，ZTNA 解决方案具有诸多优势：

• 组织可以将零信任模型扩展到网络之外。 VPN 在网络层运行，而 ZTNA 侧重传输层，可以有效提供独立于网络的应用程序安全。
• ZTNA 在后台透明运行，能够改善用户体验。 对用户而言，ZTNA 比 VPN 更容易使用。用户无需再记住何时应该使用 VPN，也不必手动执行连接过程；不会因忘记断开 VPN 客户端而意外让隧道保持开放。使用 ZTNA 时，用户只需启动应用程序，无论应用位于本地还是云端，都能立即获得安全连接。加密隧道在需要时于后台创建，对用户完全透明。由于企业网络不再被视为隐式信任区域，无论用户位于网络内部还是外部，都会创建同样的隧道。
• 访问应用程序或资源前，会先验证用户与设备。 此过程包含安全态势检查，确认终端运行正确的固件和终端防护软件，确保其能够安全连接应用程序。验证以细粒度、按会话的方式执行；无论用户访问本地资源还是云端资源，都使用相同的访问策略。该策略还会根据进行身份认证的用户与设备画像，控制谁能够访问相应应用程序。
• ZTNA 关注应用访问，因此用户身处哪个网络并不重要。 无论用户位于何处，ZTNA 都会自动创建通往应用程序的安全连接。每次应用会话都会检查用户与设备的安全态势，即使用户身处办公室也不例外。
• ZTNA 将关键业务应用隐藏在互联网之外，从而缩小攻击面。 在应用程序一侧，用户先连接实施点，再由实施点代理连接应用，因此应用程序无论位于本地还是云端，都可以对互联网保持隐藏。应用程序只需与实施点建立连接，从而免受网络犯罪分子的直接攻击。

注

Remember

越来越多的组织认识到有必要摆脱传统 VPN。实践正在证明，ZTNA 是一种更易使用、应用安全性也更强的解决方案。

更新历史

Ver	Description	Author	Rev	Date
1.0	First Complete	ysheng	tanga	2026.08.26
0.1	Draft Version	-	-	2026.08.04