- ZTNA 取代了 VPN 的隐式信任，仅对必要的应用程序进行精细化访问。
- 持续验证身份、设备和上下文可减少横向移动和账户被盗用的影响。
- ZTNA 集成到 SASE 架构中，通过统一的策略保护家庭网络和多云环境。
什么是 ZTNA？为什么它在家庭网络中如此重要？
零信任网络访问 (ZTNA) 是一种安全架构，旨在消除网络中的隐式信任。无论用户身处办公室、家中还是咖啡馆，所有访问请求都会像来自互联网一样进行验证。其核心理念清晰明了：“永不信任，始终验证”，并在整个会话期间（而不仅仅是会话开始时）应用细粒度的控制措施。
ZTNA不提供对内部网络的普遍访问权限，而是只发布每个人需要的特定应用程序：CRM、ERP、内网、工单管理、代码库等。其余的基础设施——服务器、数据库、内部服务——则保持隐藏状态，仿佛它们不存在一样，从而大大减少了攻击面，这在访问源自控制不善的家庭网络时至关重要。
这种模型通常依赖于软件定义边界（SDP），它就像一片“暗云”：未经身份验证和授权的用户无法访问应用程序。这可以阻止攻击者横向移动，而横向移动通常是在入侵家用笔记本电脑或通过网络钓鱼窃取凭据后发生的。
ZTNA 遵循非常明确的原则，打破了传统 VPN 的逻辑：将应用程序访问与网络访问分离，使基础设施对未经授权的人不可见，逐个应用程序授予访问权限，并用以用户、设备和上下文为中心的逻辑取代旧的“企业边界”，使用加密的微隧道而不是僵化的 MPLS 电路。
在家庭网络中，受管设备和非受管设备共存，这种方法可以对远程访问的公司笔记本电脑进行严格控制，同时防止其他家用设备（智能电视、游戏机、智能音箱）被用作访问关键公司系统的桥梁。
ZTNA模型的工作原理详解
基本的零信任网络访问 (ZTNA) 流程始终以用户通过 ZTNA 服务或访问代理进行身份验证开始。它通常与企业身份提供商 (IdP) 集成，例如 Azure AD、Active Directory、Okta 或其他提供商，并且需要多重身份验证 (MFA) 来提供额外的安全保护，防止凭据被盗。
ZTNA 服务在识别用户后，会评估用户连接的设备。这时就需要用到所谓的“设备状态”：例如，设备是企业设备还是个人设备，操作系统是否已打补丁，防病毒软件和终端保护是否已启用，磁盘加密是否已启用等等。对于基于代理的解决方案，甚至在授权连接之前就会执行此检查。
只有当身份和设备符合预设策略时， ZTNA 才会在用户和他们请求的特定应用程序之间创建加密微隧道。它不会打开通往整个网络的会话，而是打开一条通往已批准服务的受限通道。实际上，用户就好像只“看到”了该应用程序，即使它背后连接着整个网络。
在整个会话期间，系统会持续进行信任验证。系统会监控设备状态的变化（例如，防病毒软件是否被禁用）、用户行为（例如，尝试下载大量数据、从不同地理位置进行异常访问）以及应用程序流量。一旦发现任何异常情况，系统可以实时降低权限、强制重新验证身份或阻止访问。
整个工作流程依赖于原生应用分段。每个用户仅获得其角色所需的最低权限（最小权限原则，简称 PoLP）。例如，远程销售人员可能拥有 Salesforce 中客户数据的只读权限，而 DevOps 团队成员则拥有代码库的访问权限，但无权访问计费数据库。这种方法能更好地保护家庭网络，因为在家庭网络中，无法控制其他连接到路由器的用户。
ZTNA 与 VPN：为什么 VPN 已不再足够
多年来，VPN一直是远程办公的标准解决方案：它建立一条从员工设备到企业网络的加密隧道，使员工几乎拥有与在办公室办公时相同的访问权限。当所有数据都位于企业数据中心时，VPN简单有效；但在如今的混合云和多云环境中，VPN的局限性非常大。
VPN 的首要问题是用户过度自信。一旦通过身份验证，用户即可进入局域网，并能看到远超自身需求的资源。如果用户的笔记本电脑在家中感染病毒，或者其凭据被他人获取，攻击者便可自由地在服务器、共享文件和内部应用程序之间横向移动。
VPN在灵活性和可扩展性方面也存在不足。它们强制所有流量通过中央枢纽，当成百上千名员工在家连接（通常连接到云端应用程序）时，就会造成瓶颈。用户体验会受到影响，延迟会飙升，管理也会变得复杂。
ZTNA 通过几项关键改进解决了这些局限性：针对每个应用程序的精细访问控制、持续的身份和设备验证、防止横向移动的分段，以及无需频繁回溯数据中心即可适应混合环境（本地、云、SaaS）。此外，它还减少了对传统边界上专用 DDoS 防护、全局负载均衡器或专用防火墙等额外技术的依赖。
在家庭网络中，VPN 往往与不安全的个人设备并存，而零安全网络接入 (ZTNA) 技术则至关重要。即使路由器或家用电脑遭到入侵，攻击者也很难以此为跳板攻击企业资源，因为他们永远无法看到整个网络暴露在外。
ZTNA模型的主要优势
ZTNA 的主要优势在于显著提升了安全性。它基于身份和上下文而非静态 IP 地址进行访问控制，从而缩小了攻击面，并大大增加了窃取凭证的使用难度。每次登录尝试都会根据策略进行检查，这些策略会考虑用户的身份、位置和设备状态。
第二个关键支柱是细粒度的访问控制。借助基于角色的访问控制 (RBAC) 等模型，组织可以为每个角色、人员或组定义允许访问的应用程序和操作。这种细粒度控制有助于遵守安全和隐私法规（例如 GDPR、ISO 27001 和 NIST），并留下清晰的审计跟踪，记录谁在何时访问了哪些资源。
ZTNA 还大幅缩小了攻击面。由于内部网络和应用程序不对外公开，关键资源的 IP 地址甚至对互联网都不可见。对于外部攻击者而言，这套基础设施基本上是“隐形的”，从而降低了大规模扫描和漏洞利用的可能性。
ZTNA的另一大优势在于其与远程办公和混合办公模式的天然兼容性。ZTNA 专为分布式环境而设计，用户和应用程序可以位于任何位置：家庭网络、联合办公空间、公有云、本地数据中心等等。策略在所有这些场景中都以一致的方式应用，没有任何区别。
最后，ZTNA 提升了终端用户的工作效率。它无需用户建立繁琐且不稳定的 VPN 连接，而是允许他们通过优化的微隧道直接访问授权应用程序。这降低了延迟，减少了身份验证的繁琐步骤，并在资源位于云端时显著提升了性能——对于在家办公且网络连接受限的用户来说，这无疑是一项非常实用的优势。
ZTNA 1.0 与 ZTNA 2.0：必要的演进
第一代零信任网络接入协议（ZTNA 1.0）相比VPN而言是一项进步，但在当今环境下已显得力不从心。混合办公已成为常态，应用程序大多采用云原生或SaaS模式，攻击手段也日益复杂，旨在利用合法访问权限。
ZTNA 2.0 的创建旨在弥补早期实现方案的不足。它集成了第 7 层应用识别 (App-ID) 功能，允许在应用层和子应用层定义策略，而无需考虑 IP 地址、端口或协议。这使得访问控制更加精确，更能抵御规避技术。
ZTNA 2.0 的另一项关键改进是增强了持续验证功能。仅仅在启动时评估用户和设备是不够的；信任度会在整个会话期间根据端点姿态变化、行为模式和风险信号重新计算。如果出现任何异常情况，都可以立即限制或阻止访问。
ZTNA 2.0 还强调对流量进行持续检测，即使是已获许可的连接也不例外。它采用深度包分析 (DPI) 和高级威胁检测技术（包括零日威胁检测），以防止拥有有效凭证的攻击者利用此漏洞从内部攻击应用程序或基础设施。
此外，这种现代方法将保护范围扩展到所有数据和应用程序：包括 SaaS、传统私有服务、云原生应用程序以及具有动态端口或服务器发起连接的应用程序。其目标是在整个组织的数字环境中应用统一的数据丢失防护和访问控制策略，无论用户身处何地（包括家中）。
ZTNA 和 SASE：打造更安全家庭网络的组合
ZTNA 本身并不能始终彻底检查与应用程序建立连接后产生的所有流量。如果设备在初始访问后遭到入侵，或者内部用户滥用权限破坏系统或窃取数据，则存在一定的风险。
安全访问服务边缘 (SASE) 的出现是一种自然演进，它将 SD-WAN、云安全和零流量网络接入 (ZTNA) 整合到一个集中式服务中。它集成了防火墙即服务 (FWaaS)、安全 Web 网关 (SWG)、云访问代理 (CASB) 和其他功能，并从云端协调这些功能以实施统一的策略。
当 ZTNA 集成到 SASE 解决方案中时，组织可以对所有流量进行深度检查，实现全局可视性，并拥有一个用于远程访问（包括来自家庭网络连接）的单一控制点。所有请求都通过一个安全网关，该网关会强制执行中央引擎中定义的策略决策。
实际上，无论流量路径如何，SASE 都能在远程用户和企业资源之间建立一条“智能边界”。它提供了传统 VPN 所缺乏的可扩展性，降低了管理复杂性，并能更好地支持应用程序分布在多个公有云、私有云和本地数据中心的场景。
对于家庭网络而言，采用 ZTNA 2.0 的 SASE 是一种非常有效的保护任何需要企业访问权限的设备的方法，它可以评估设备的状况，通过经过检查的网关路由其流量，并将其访问范围限制在所需的应用程序上，从而防止设备成为整个组织的后门。
ZTNA架构的关键组成部分和原则
完整的零信任网络访问 (ZTNA) 架构依赖于多个协同工作的组件。核心组件通常是 ZTNA 控制器或代理，它负责协调所有访问决策：查询身份提供程序、评估设备状态、分析会话上下文以及应用授权策略。
应用程序前端是 ZTNA 网关，它负责管理实际流量。它在用户和应用程序之间创建安全隧道，阻止未经授权的尝试，并确保基础设施对未经许可的任何人不可见。
身份提供商 (IdP) 是另一个关键组件。验证用户的真实身份至关重要，这可以通过将企业目录与身份和访问管理 (IAM) 服务集成来实现，从而支持多因素身份验证 (MFA)、单点登录 (SSO) 和其他高级身份验证机制。
决策逻辑的核心是策略引擎。它定义了谁可以在何时何地访问哪些资源，并考虑了用户角色、设备类型、位置、时间、通过分析和机器学习计算的风险等属性。这些策略是动态的，会随着上下文的变化而调整。
此外，ZTNA不仅对人类用户，而且对应用程序、系统和自动化流程都应用了最小权限原则。每个实体仅被授予执行其功能所必需的权限，从而最大限度地减少任何实体遭到破坏时可能造成的损害。
使用场景：远程访问、云服务和被盗账户
ZTNA 最显而易见的应用场景是为在家办公或出差的员工提供安全的远程访问。它无需依赖会开放整个网络的 VPN，而是仅授予每个角色所需的资源访问权限，并通过持续监控和精细化控制，最大限度地降低安全威胁。
另一个关键场景是安全访问云环境。许多组织使用多个公有云和私有云以及 SaaS 应用程序。借助 ZTNA，可以为每个用户和服务分配特定的角色和权限，使其只能访问实际需要的云资源，从而减少攻击面并提高合规性。
ZTNA 还有助于减轻账户被盗用的影响。当攻击者窃取有效凭证时，最小权限策略和应用程序隔离会限制其造成损害的能力。此外，持续信任验证可以检测异常行为（例如来自异常位置的访问、异常使用模式），并自动终止会话。
在家庭网络中，弱密码和未管理的个人设备很常见，这种方法可以更好地控制与非恶意人为因素相关的风险：配置错误、点击钓鱼链接、操作系统版本过时，或者用于访问公司的计算机上安装了不安全的软件。
从操作上看，ZTNA 成为将零信任应用于任何分布式环境的实用方法：它可以过滤谁可以进入、他们可以看到什么、他们的行为方式以及他们维持信任的时间，所有这些都不依赖于家庭网络是否安全或用户是否成为网络安全专家。
在家庭网络和混合环境中采用零趋势网络 (ZTNA)需要转变思维模式：从保护“网络”转变为保护“应用程序和数据”，并将每个访问请求都视为潜在的恶意行为。最终形成一个更强大、更具适应性的模型，它符合当今分布式办公的实际情况，能够在不影响业务敏捷性的前提下最大限度地降低风险。
