什么是 ZTNA？
ZTNA（零信任网络访问）是一种访问方案：任何用户或设备都不会仅因身处网络之中就获得信任。访问某项资源的每一个请求都要依据经过验证的身份和策略进行评估，访问权限也只授予特定的应用或系统，而不是整张网络。它把「绝不信任，始终验证」这一零信任原则，应用到「谁能访问什么」的问题上。
ZTNA（零信任网络访问）依据经过验证的身份和策略授予对特定应用的访问，绝不仅因一个用户或设备身处网络之中就予以信任。
什么定义了 ZTNA
- 01
由身份和策略驱动：访问决策基于谁或什么在请求、以及策略是否允许，而非网络位置。
- 02
最小权限：一个用户或服务仅被授予对其所需特定资源的访问，而非宽泛的网络访问范围。
- 03
没有隐式信任：连接到网络本身不会带来任何权限；每个会话都经过验证。
- 04
资源保持隐藏：内部应用不向公网开放，只能通过访问层、由获授权的请求访问。
ZTNA 对比传统 VPN
传统 VPN 只对用户验证一次身份，随后便把其设备放进网络，往往伴随宽泛的访问范围：任何接入者都能探测路由所允许的一切。ZTNA 则反其道而行：它按会话、依据持续验证授予对单个资源的访问，因此已连接的设备只能访问策略明确许可的范围。这大大缩小了凭据被盗或设备被攻陷时的影响范围，因为一旦「进入」，并不存在可以随意漫游的扁平网络。
ZTNA 如何交付
ZTNA 有不同的实现形式。大型安全厂商把它作为云端 SASE 平台的一部分提供，由一项全球服务代理对应用的访问。另一些实现则把零信任访问内置于网络架构或叠加网络中，对每个节点和会话进行身份验证，并按角色和分段实施最小权限访问。它们的共同点在于原则：验证身份，只对特定资源授予最小访问，让这些资源不向公网开放，并记录每一次连接。
这与 Vexaro Mesh（开发中）有何关系
目前正在开发中的 Vexaro Mesh 按设计在其 Mesh 内将零信任原则应用于访问，而非作为独立的 SASE 平台：每个节点和会话都经过身份验证和策略检查，按角色授予访问权限，内部系统与公网隔离、只能通过网络架构访问，每次连接都将被记录并可导出至您的 SIEM。
查看规划中的功能