访问内部系统，而无需把它们暴露在外
目前正在开发中的 Vexaro Mesh 计划将管理面板、数据库和工业节点与外界隔离，只能通过 Mesh 访问：按角色授权，每个会话都经过身份验证并留有记录。没有公开端口，也没有隐式信任。
暴露式访问为何充满风险
访问内部系统的常见方式，每一种都在扩大攻击面。
开放一个端口或发布一个管理面板，就等于把它摆在整个互联网面前，无论是否有人理应使用它，它都会被持续扫描和探测。
随着团队和环境增长，堡垒机和跳板机越来越多，每一台都意味着多一组凭据、多一台需要打补丁的主机、多一项需要审计的对象。
扁平 VPN 把用户直接放进网络，让每个接入者都获得宽泛的访问范围，一台被窃的笔记本或一个令牌就能横向移动到它从未需要的系统。
零信任访问将如何运作
规划：内部系统无法从外部访问，并通过 Mesh 授予最小权限的访问路径。
- 1
把系统从公网撤下
按设计，管理面板、数据库和内部服务不再直接暴露：只能从 Mesh 内部访问，而不能从公网访问。
- 2
对每个节点和会话进行身份验证
设计上，仅仅身处网络之中不会获得任何权限：每个节点和每个会话在访问任何资源之前，都将经过身份验证并接受策略检查。
- 3
按角色授予访问权限
计划按角色授予最小权限访问，让人员和服务只能访问其工作所需的系统。
- 4
记录并导出每一次连接
每一次连接（谁、何时）都计划被记录以供审计，并可导出至您的 SIEM。无需搭建堡垒机，也能留存审计轨迹。
安全访问计划为您带来的价值
以最小权限访问内部系统，无需暴露端口，也无需堆叠跳板机。
不向公网暴露
按设计，管理面板、数据库和 OT 节点与外界隔离，只能通过 Mesh 访问，从而缩小攻击面。
基于角色的访问
对敏感系统的访问计划按部门和站点授予，遵循最小权限，而非开放整张网络。
会话审计
设计上，每一次对受保护系统的连接都经过身份验证并被记录，审计轨迹可导出至您的 SIEM，无需另行维护跳板机。
为什么 Vexaro Mesh 按设计适合安全访问
按设计实现零信任：每个节点和会话都将经过身份验证和策略检查，因此连入网络并不等于在网络中获得信任。
计划中的基于角色的访问为特定系统提供最小权限访问，而不是让扁平 VPN 向任何加入者开放整张网络。
按设计，系统位于 Mesh 之后且没有公开端口，消除了堡垒机和端口转发留下的暴露面板与开放端口等攻击面。
每个会话都计划被记录并可导出至您的 SIEM。不必运维堡垒机，也能获得同样的审计轨迹。