零信任与 VPN 有什么区别

如果你在 IT 行业或与之相关，大概听过“VPN 已死”和“零信任才是未来”的说法。如果你只是用 VPN 来保护酒店网络上的连接，这场争论可能听起来跟你毫无关系。这两种反应都没有抓住重点。零信任与 VPN 不是同一种产品的两个品牌，它们回答的是不同的问题，而混乱来自厂商拿它们做比较的方式。

本文用通俗的话说明区别：传统的远程访问 VPN 做什么、哪里不足，零信任究竟是什么意思，以及 ZTNA、SASE、SD-WAN 等相关术语各处于什么位置。这是该领域的一般背景知识，不是针对某个组织的建议，也不涉及任何具体产品。

传统的远程访问 VPN 如何工作

远程访问 VPN 给用户一条进入私有网络的安全通道。你的笔记本电脑与组织的 VPN 网关建立加密隧道。隧道建立后，笔记本的表现就像插在办公室网络上一样，拥有内部地址，并能触达网络允许的一切。基本原理请参阅VPN 是如何工作的。

这种模式有实实在在的优点。它成熟、易懂，几乎适用于任何应用，并且有标准和指南支持，比如针对 IPsec VPN 的 NIST SP 800-77。NIST 关于远程办公与远程访问安全的指南，把隧道式 VPN 与门户、远程桌面和直接应用访问等其他远程访问方式并列。

它的弱点在于底层的思路，有时被称为城堡与护城河。隧道就是吊桥。一旦有人进来，网络往往就信任他。这带来几个众所周知的问题：

• 默认访问范围过宽。 VPN 用户常常能触达远超工作所需的系统，因为按网络逐个限制访问很难维护。
• 被盗的凭据威力很大。 如果攻击者拿到有效的用户名和密码，VPN 可能赋予他与真正员工相同的触达范围。
• 横向移动。 隧道上一台被攻陷的笔记本电脑，可以探测内部网络中的其他机器。
• 暴露的网关。 VPN 网关必须能从互联网访问，因而成为醒目的目标，需要不断打补丁。
• 性能与复杂性。 把所有远程流量都送往中央网关可能形成瓶颈，尤其是当大多数应用现在都在云端时。

零信任是什么意思

零信任是一种安全思路，而不是一个产品。最广为人知的定义来自 NIST SP 800-207，即零信任架构文件。它的核心思想是：没有任何用户、设备或网络位置仅仅因为所处的位置就被信任。身处办公室网络或 VPN 隧道内，本身并不能赢得信任。

在实践中，零信任基于几项原则：

1. 明确验证。 每个访问请求都要依据身份、设备健康状况、位置等信号进行检查。
2. 最小权限。 每个用户只能访问其所需的特定资源，并且只在需要的时间内有效。
3. 假定已被入侵。 设计时就当攻击者可能已在内部，通过分段和监控来限制损害。
4. 持续检查。 信任不是永久的。如果设备不再合规或行为异常，会话可能会失去访问权限。

这些原则里没有一条提到隧道。零信任的设计可以使用加密隧道，但隧道并不是让它成为零信任的原因。强身份验证才是基础：在这里，双重验证以及 CISA 的 MFA 资源中的指引，比选择哪种隧道协议重要得多。CISA 零信任成熟度模型展示了组织如何在身份、设备、网络、应用和数据方面一步步推进。

ZTNA 与 VPN

零信任网络访问（ZTNA）是最常拿来和 VPN 比较的产品类别。它把零信任的思想用于回答这样一个问题：“远程的人如何访问我们的某个应用？”

在典型的 ZTNA 设计中：

• 用户设备上运行一个小型代理，或者用户为基于浏览器的应用打开一个网页门户。
• 代理或网关检查用户是谁、设备健康状况如何，以及策略是否允许访问。
• 如果允许，用户只会被连接到那一个应用，而不是它背后的网络。
• 应用不直接暴露在公共互联网上，从而缩小攻击面。
• 整个会话期间，这一决定会被重复检查。

“ztna vs vpn”之类的比较，通常归结为这样的差异：

	传统远程访问 VPN	ZTNA
你得到什么	一条进入网络的通道	对特定应用的访问
默认信任	连接后往往范围很广	范围窄，按应用划分
设备检查	可选，通常在连接时	通常内置并反复进行
网络暴露程度	网关可从互联网访问	应用隐藏在代理之后
最擅长	遗留应用和一切基于网络的场景	网页、云和现代应用

ZTNA 不是魔法。它需要良好的身份系统、准确的设备信息和写得好的策略。一些依赖开放网络访问的老旧应用很难放到它后面。还有一些作为 ZTNA 出售的产品，骨子里其实是策略控制更好的隧道。请对这个标签保持健康的好奇心，问清楚到底改变了什么。

SASE 与 VPN

SASE 是 Secure Access Service Edge 的缩写，由研究机构 Gartner 于 2019 年提出。它指的是把网络和安全作为云服务一起交付。一个典型的 SASE 组合包括：

• SD-WAN：连接各站点并高效路由流量。
• 安全网页网关：过滤网页流量。
• 云访问安全代理：控制云应用的使用。
• 防火墙即服务：提供网络层面的控制。
• ZTNA：用于访问私有应用。

所以“SASE 与 VPN”的比较，是一种架构与单项技术之间的比较。SASE 平台可以让传统 VPN 对许多远程员工变得不再必要，因为 ZTNA 和网页网关的功能以更精细的控制满足同样的需求。但 SASE 面向的是希望整合多种工具的组织，而且是一个大项目。只有几名员工的小企业，可能会发现一个维护良好、认证严格的简单 VPN 是更务实的起点。

SD-WAN 与 VPN

SD-WAN，即软件定义广域网，是另一个经常被混进来的术语。它解决的是另一个问题。拥有众多分支机构的公司需要这些站点与总部和云端通信。SD-WAN 管理每个分支的多条连接，比如宽带、蜂窝和专线，并根据集中策略，把每个应用的流量引导到最佳路径上。

它与 VPN 的关系比较微妙：

• SD-WAN 产品通常在站点之间使用加密隧道，常见的是 IPsec，所以 VPN 技术经常就在它们内部。
• SD-WAN 关注的是站点到站点的连接和性能。远程访问 VPN 关注的是个人用户从任何地方接入。
• 单靠 SD-WAN 并不是零信任方案。它改善流量的走向，但并不决定某个人是否应该访问某个应用。

当文章比较“sd wan vs vpn”时，有用的答案是：它们通常工作在不同的层面，而且经常一起使用。

并排比较：什么情境用什么工具

情境	合理的选择	原因
小团队需要访问一台内部服务器	带强认证的远程访问 VPN	简单、熟悉、运行成本低
以云和网页应用为主的成长型公司	ZTNA 或 SASE	按应用授权，减少对中央网关的依赖
有众多分支机构的公司	SD-WAN，通常配合加密隧道	管理多条链路并应用集中策略
需要完整网络访问的遗留系统	VPN，最好配合网络分段	许多老应用需要网络路径
只需使用一个应用的外包人员	ZTNA 或范围严格限定的 VPN 账户	最小权限，易于撤销
在酒店或咖啡馆 Wi-Fi 上的个人	个人 VPN，加上 HTTPS 和良好习惯	保护你无法掌控的网络上的流量

最后一行对普通读者很重要。个人 VPN 服务，也就是你安装在手机或笔记本电脑上的那种，解决的是与企业零信任不同的问题。它对设备与 VPN 服务之间的流量加密，使本地网络无法读取。它不是针对公司应用的基于身份的访问控制系统，也无法取代良好密码的必要性。关于局限，请参阅VPN 无法保护你的哪些方面；至于两种思路在日常居家办公中如何交汇，请见适合远程办公的 VPN。

逐步迈向零信任

零信任是一段旅程，而不是一个开关。成功的组织很少一下子推倒重来。一条合理的路径如下：

1. 先加强身份。 到处启用多因素认证，先从管理员和远程访问开始。这是最有价值的一步。
2. 盘点现有资产。 列出应用、谁需要它们，以及目前如何访问。
3. 了解你的设备。 跟踪哪些设备在连接，以及它们是否已打补丁、是否受管理。
4. 缩小 VPN 能触达的范围。 即使在更换工具之前，也可以对网络分段，使 VPN 用户只能触达所需的资源。使用分应用代理时，请了解什么是 split tunneling中描述的取舍。
5. 先迁移容易的应用。 网页和云应用通常最容易放到 ZTNA 之后。
6. 在适合的地方保留 VPN。 在替代方案就绪之前，让遗留系统和站点间用途继续使用隧道。
7. 监控并调整。 记录访问决策，复查并随时间收紧策略。

局限与注意事项

• 零信任不是一次性买下的产品。 厂商随意使用这个词，请问清楚产品实际落实了哪些原则、如何落实。
• VPN 并未过时。 它仍是可靠的、基于标准的工具，尤其适合站点间链路和在不可信网络上的个人保护。配置糟糕的 ZTNA 产品，可能不如运维良好的 VPN。
• 复杂性是有代价的。 策略、身份集成和监控需要有时间、有技能的人。小型组织应当诚实地权衡这一点。
• 没有哪种方法能防住所有攻击。 网络钓鱼、设备被盗和受信任用户的失误，都可能击败任何设计。培训和基本的安全习惯依然重要。
• 留意说法的来源。 厂商的对比页面属于营销。NIST 和 CISA 的文件是评估方案时更中立的依据。

小结

VPN 建立加密隧道，而传统的远程访问 VPN 往往在用户进入后赋予其对网络的广泛访问。零信任是一种拒绝因位置而授予信任的安全思路，因此会验证每个请求，并只给每位用户所需的最小访问。ZTNA 把这种思路用于应用访问，SASE 把网络和安全作为云服务捆绑在一起，SD-WAN 管理分支机构的连接。这些概念相互重叠，但不能互换，许多组织会同时使用多种。对个人而言，个人 VPN 仍是一种独立而有用的工具，用来保护你无法掌控的网络上的流量。

如果你需要在旅行或公共网络上获得这种日常保护，可以在价格页面比较天数固定的通行证。