ZTNA 与 VPN：远程访问怎么选

当你要决定员工、外包人员，或者你自己该如何从外部访问内部系统时，ztna vs vpn 这个问题很快就会冒出来。两种方案都会建立一条通往私有资源的受保护通道，区别在于：走到这条通道里之后，你被信任到什么程度。VPN 通常信任你进入“一个网络”，而 ZTNA（Zero Trust Network Access，零信任网络访问）只信任你使用“某一个应用”。

本文站在采购和规划者的角度来比较。零信任的总体思想已经在 零信任与 VPN 有何不同 里讲过，这里不再重复，而是聚焦实际选择：各自授予什么权限、运维成本如何、一个中型公司的实例、一份决策清单，以及一条不会打断工作的迁移路径。

真正的区别：连上之后你拿到了什么

去掉产品名称，核心差别在于“访问权限的单位”。

传统的远程访问 VPN 里，用户向网关验证身份，然后拿到内部网络的一个地址或一条路由。此后他的笔记本电脑就像插在办公室交换机上一样工作。他实际能访问什么，只取决于有人写好并维护的防火墙规则。很多小型组织的规则写得很宽，因为宽松最省事，也很少导致故障。

ZTNA 则根本不让用户加入网络。客户端或浏览器先与一个中间“代理”（broker）通信，代理检查身份、设备状态，有时还有时间或位置，然后才通过一个紧挨着应用的连接器，把该用户连到某个指定的应用。如果同一个人还想访问文件服务器，那是另一次独立的决定。内网对没有获批的人来说是不可见的。

由此带来两点后果：

• 影响范围。 VPN 账号被盗，攻击者进入网络内部，可以继续扫描。ZTNA 账号被盗，攻击者也只能得到该用户获批的那部分权限，设备检查甚至可能一开始就把他挡住。
• 可见性。 ZTNA 的日志能说明哪个用户打开了哪个应用。VPN 日志通常只说明用户连接过，要知道他做了什么，还得去翻防火墙或服务器日志。

NIST 在零信任架构文档中描述了这种模式：用户与每一项资源之间，都隔着策略决策点和策略执行点。

VPN 在实际中如何授予访问权限

先把 VPN 一侧讲具体，因为它的许多弱点出在运维而不是技术。

典型部署包括一个有公网地址的网关、一个分给远程用户的内部地址池，以及一套防火墙策略。多数团队的步骤大致如下：

1. 创建用户账号，通常与目录服务关联。
2. 给每台设备发放客户端配置或证书。
3. 规定远程用户能访问哪些内部子网。
4. 决定是所有流量都走隧道，还是只有公司流量走隧道。
5. 出问题时才回头检查规则，很多时候没问题就不检查。

最后一步正是问题累积的地方。只需要用两周数据库的外包人员，一年后仍然可以访问，因为没人记下过期时间。软件陈旧的开发者笔记本，只要密码正确，照样能连上。VPN 完全能执行很窄的规则，但窄规则需要持续投入精力。

VPN 的另一个好处是容易理解：一条隧道、一个网关、一个排查的地方。凡是通过 IP 通信的应用都能用，包括打印机、老旧的业务软件，以及默认处在同一网络里的文件共享。想回顾加密通道本身是什么，可以看 VPN 隧道是什么。

ZTNA 在实际中如何授予访问权限

ZTNA 常见两种形态。基于代理程序的形态，电脑上的软件会把特定应用的请求转发给 broker。无代理形态则是用户在浏览器里打开一个门户，由 broker 替他代理应用，这对使用个人设备的外包人员很方便。

两种形态的流程大致如下：

1. 用户通过公司的身份系统登录，并完成多因素认证。
2. broker 检查设备状态，例如磁盘加密是否开启、系统更新是否到位。
3. 策略判断这个用户、用这台设备、在这个时刻，能否访问这个应用。
4. 通过连接器建立一条短时、仅限该应用的连接，应用本身不必对外开放入站端口。
5. 会话被记录，并且可以由中心统一终止。

吸引力在于：无需把 VPN 网关暴露出来，应用也可以对互联网隐藏。代价是每个应用都要有人写策略，不适合该模型的应用需要变通办法。

面向采购者的并排对比

问题	传统远程访问 VPN	ZTNA
用户得到什么	进入网络的地址或路由	到某个获批应用的连接
默认立场	连上即信任，除非额外限制	默认拒绝，策略允许才放行
设备健康检查	可选，常常后加	通常是核心功能
老旧的非网页协议	支持良好	因产品而异，有的需要连接器，有的不支持
使用个人设备的外包人员	麻烦，需要装客户端	往往可通过浏览器门户解决
持续的工作量	起初少，规则老化后增多	起初多，要逐个应用写策略
成本在哪里	网关硬件或虚拟机，管理员时间	按用户的服务费，加身份工具
对用户行为的可见性	连接级	应用级
单点故障	网关	broker 服务和你的身份系统

最后一行值得认真对待。ZTNA 并没有消除单点故障，只是把它换了位置。身份系统宕机时，谁都进不来；而带本地账号的 VPN 也许还能用。

实例：一家 60 人的公司

设想一家 60 人的设计公司。30 人基本每天到办公室，20 人完全远程，另有 10 位自由职业者来来去去。公司系统包括云端的项目管理工具、办公室里的文件服务器、小服务器上的财务应用，以及两台高性能渲染机的远程桌面。

只用 VPN。 每个人都装客户端。远程员工能访问整个办公室子网，因为管理员没时间细分。某位自由职业者家里的笔记本一旦中招，就能看到文件服务器、财务服务器和打印机。管理员的补救办法是建立三个用户组、三条防火墙规则，有效，但每当项目开始或结束都要再改。

只用 ZTNA。 项目管理工具本来就在云端，正常登录即可。财务应用和渲染机被发布为有名字的应用。自由职业者通过浏览器门户，只能看到所需的项目文件，并且有时间限制。一切顺利，直到团队发现文件服务器使用的协议 broker 支持不好，设计师的备份软件也连不上。

两者并用。 公司保留一个小型 VPN，用于文件服务器和旧工具，限定在一小群使用受管笔记本的人。其余都改成按应用访问。VPN 的规则于是变少，也容易审查，而风险最高的自由职业者根本不碰 VPN。

这个例子并不特殊。混合方案很常见，因为真实的组织里总有至少一个应用无法顺利套进新模型。

帮你决策的清单

请如实回答下面的问题。答案的整体倾向比任何单一答案更重要。

1. 你的应用在哪里？ 大多在云端或有网页界面，ZTNA 很自然。大多是需要本地网络的老旧桌面软件，VPN 更简单。
2. 有没有带多因素认证的统一身份系统？ ZTNA 假定你有。如果没有，无论选哪种模式都应先补上。CISA 关于多因素认证的指南 是不错的起点。
3. 能否按应用描述每个人的工作？ 如果能大致列出每个团队要用的五个工具，按应用定策略就现实。如果没人说得清，最后还是会把所有东西都放开。
4. 谁是风险最高的用户？ 外包人员、供应商和使用非受管设备的员工，最能从窄权限中受益。
5. 每月能投入多少管理员工时？ ZTNA 前期投入大，VPN 把工作摊开，然后任由规则腐化。
6. 一个账号被盗会造成多大损失？ 若答案是“不大，因为已经隔离好了”，VPN 可能就够了；若是“全部”，就该优先收窄权限。
7. 是否有访问权限定期审查的合规要求？ 应用级日志让审查更容易。

如果你的答案多是云端、网页、身份系统健全、数据敏感，倾向 ZTNA。如果是老系统、小团队、一台办公室服务器，一套管理良好的 VPN 也是体面的选择。

从 VPN 逐步迁移到 ZTNA，不打断工作

一刀切的切换，是让所有人周一早上进不了系统的最快办法。分阶段更从容。

1. 盘点。 列出每个内部应用、它使用的协议，以及谁需要它。这份清单是整个项目最有价值的成果。
2. 先收紧 VPN。 把整个子网的访问改成按组授权，删除对应不到真人的账号。这一步立刻降低风险，也为之后复用的策略做好准备。
3. 用低风险应用试点。 通过 ZTNA 发布一个网页应用，让一个团队用一个月。
4. 先迁移外包人员。 他们风险最大，也最容易改用浏览器访问。
5. 按应用类别迁移其余部分，测试不过关的继续留在 VPN 上。
6. 每季度复查。 清理过期策略。没人复查的策略和防火墙规则一样会腐化。

CISA 零信任成熟度模型 适合用来判断你走到了哪一步，因为它按阶段描述，而不是要求一步到位。

局限与应避免的错误

ZTNA 不是神奇的标签。要留意：

• 买了产品，却沿用宽松规则。 如果每个用户都被允许访问每个应用，你得到的只是换了名字的 VPN。
• 忽略非网页流量。 语音、设备发现协议、由服务器端发起的连接和部分数据库工具，并不总能通过 broker。
• 身份系统是单一依赖。 为管理员规划应急访问方式，并妥善保护。
• 忘了终端设备。 已被劫持、并持有有效会话的笔记本，仍可使用其获批的应用。设备检查和短会话能减少这种情况，但无法消除。
• 把 ZTNA 当成隐私工具。 它保护应用不被未获批的用户访问，却不会向公司的 broker 隐藏你的活动，broker 可以记录。
• 低估延迟。 流量要先到 broker 再到应用，如果最近的接入点很远，用户会有感觉。

同样，VPN 一侧的错误也很熟悉：全团队共用一个账号、外包访问没有到期时间、网关从不打补丁。NIST 的远程办公安全指南 列出了适用于两种方式的良好做法。

个人和小团队在哪里

如果你只是一个人、自由职业者或一个家庭，你并没有这种访问控制问题。你多半想用 VPN 保护公共或共享网络上的流量，这与 ZTNA 或公司网关是两码事。商用 VPN 与个人 VPN 的对比 解释了这种划分，小企业该看什么 则涵盖中间地带。如果你远程办公而雇主已提供访问通道，远程办公指南 说明个人 VPN 如何与之并存而不相互干扰。

总结

ZTNA 与传统 VPN 的差别在于信任你什么：VPN 给你一条进入网络的通路，ZTNA 给你一条通往单个应用的已验证连接。ZTNA 能缩小账号被盗的损害，可见性更好，但需要良好的身份系统、逐应用的策略，以及对老旧协议的应对方案。VPN 更简单，对老系统支持好，但规则需要定期复查。很多组织在迁移期间并用两者，这很合理。

如果你需要的是给自己设备用的简单个人 VPN，而不是公司的访问系统，可以随时看看 价格页面。