零信任访问意味着什么
零信任摒弃了「城堡与护城河」的旧假设，即网络内部的一切都是安全的，转而对每一次连接持续验证，无论连接来自何处。
绝不因位置而信任
连接到网络并不会让用户或设备自动获得信任。每个节点和会话在访问任何资源之前，都要经过身份验证并依据策略校验。
最小权限访问
访问按角色授予特定系统，因此用户和服务只能访问工作所需的资源，而不是一接入就能触及整张网络。
没有隐式暴露
内部系统与公网隔离，只能通过访问层访问，消除了扁平 VPN 留下的暴露端口和过宽的访问范围。
Vexaro 计划如何实现零信任
零信任控制按设计融入网络架构本身。
经过身份验证的节点和会话
每个节点和每个会话都将经过身份验证并接受策略评估，不会仅因身处网络之中就获得信任。
基于角色的访问
计划通过一个控制台按部门和站点授予访问权限，遵循最小权限，而非开放整张网络。
审计与 SIEM 导出
每一次连接（谁、何时）都计划被记录并可导出至您的 SIEM，让访问有据可查，而不是想当然。
零信任 Mesh 对比扁平 VPN
Mesh 上的零信任访问与传统全隧道 VPN（把用户直接放进扁平网络）之间的模型对比。两者是不同的安全模型，并非优劣排名。
| Vexaro（零信任 Mesh，规划中） | 传统扁平 VPN | |
|---|---|---|
| 信任模型 | 验证每个节点和会话 | 一经连接即信任 |
| 访问范围 | 按角色的最小权限 | 宽泛的网络访问范围 |
| 互联网暴露 | 系统不向公网开放 | 端口 / 网关暴露 |
| 逐会话审计 | 记录且可导出至 SIEM | 有限 / 仅连接级 |
我们不声称什么
「ZTNA」一词通常指大型安全平台（如 Zscaler、Palo Alto 和 Cloudflare）作为 SASE 套件一部分提供的零信任访问。我们不声称是 SASE 平台，也不会逐项功能地取代它们。开发中的 Vexaro Mesh 计划在自己的 Mesh 内将零信任原则应用于访问：经过身份验证的节点与会话、基于角色的访问以及审计。本页也不公布具体的隧道协议；流量计划采用现代密码学保护。
零信任 Mesh 适用于何处
您希望淘汰那种「连接即信任」的宽泛 VPN 访问，转而采用对特定系统的最小权限访问。
您需要让内部系统（管理面板、数据库、OT）无法从互联网访问，只允许获授权的角色通过 Mesh 访问。
您需要记录谁访问了什么的审计轨迹，并可导出至您的 SIEM，而无需架设堡垒机。
零信任相关问题
零信任访问与 VPN 有何不同？
传统 VPN 只验证一次身份，之后便在网络上信任您，往往还伴随宽泛的访问范围。零信任 Mesh 则持续验证：每个节点和会话都经过身份验证，对每个系统的访问按角色授予，因此连接绝不等于信任，访问范围也保持最小。
Vexaro Mesh 将是 ZTNA 或 SASE 平台吗？
它并未规划为完整的 SASE 套件。目前正在开发中的 Vexaro Mesh 计划在其 Mesh 内将零信任原则应用于访问：经过身份验证的节点与会话、基于角色的访问和审计。如果您需要的是站点、用户与内部系统之间的零信任访问，这正是 Vexaro Mesh 的构建目标；我们并不将其定位为大型 SASE 平台的替代品。
我将能让内部应用远离公网吗？
这正是规划：系统与公网隔离，只能通过 Mesh 访问，没有暴露的端口或公开的管理面板。获授权的角色将通过网络架构访问它们，每次连接都将被记录。
零信任会让用户的访问变得更难吗？
在规划的设计中，访问由角色决定：获授权的用户可顺畅访问所需系统，其余一切保持不可达。单点登录计划将访问与企业身份绑定，即便信任模型更严格，使用体验依然熟悉。