零信任网络架构

• 永不信任、始终验证原则
• 城堡-护城河模型的局限
• 零信任的落地维度（身份、设备、策略、持续验证）

零信任的核心原则是不再默认"内网可信"，而是对每个访问请求（无论来自内网还是外网）都"永不信任、始终验证"——每次请求都基于身份、设备、上下文等多因素动态鉴别与授权。落地维度：身份认证（MFA、SPIFFE 工作负载身份）、设备健康检查、最小权限访问策略、基于应用的连接（ZTNA）、持续验证与动态授权、微隔离。与传统"城堡-护城河"模型（以防火墙/边界为唯一防线，边界内默认可信）的本质区别：城堡模型假设"进来看就安全"，一旦边界被突破（内网横向移动、VPN 窃取）内部全部暴露；零信任假设"任何位置都可能被攻破"，把信任从"网络位置"转移到"身份+上下文"，按请求粒度验证，消除内网信任带来的横向攻击面。

零信任的核心是把信任边界从"网络"迁移到"身份与上下文"。城堡模型依赖单一边界，零信任把边界下沉到每个请求，实现"内网也不可信"。

• BeyondCorp 的架构（设备+身份，替代 VPN）
• SASE 融合网络与安全（云原生）
• SSE 面向安全服务边缘

BeyondCorp 是 Google 的零信任实现，核心是"不依赖网络位置"——基于设备清单与用户身份做访问控制，无需 VPN 即可安全访问内网应用，适合企业自建、以身份+设备为中心的场景。SASE（Secure Access Service Edge）是云原生的融合架构，把网络服务（SD-WAN、路由）与安全服务（防火墙、零信任访问、安全 Web 网关）合并到云边缘，统一交付，适合多云、分布式、分支与远程办公场景。SSE（Security Service Edge）是 SASE 中"安全"部分的子集，聚焦云安全服务（如 ZTNA、CASB、SWG），不含网络传输能力，适合只需安全接入、网络已另有方案的场景。三者差异：BeyondCorp 偏自建身份驱动，SASE 是网络+安全一体化云服务，SSE 是纯安全服务边缘。

三者是零信任的不同落地形态：BeyondCorp 是"身份+设备"的接入模型，SASE 是"网络+安全"融合，SSE 是"纯安全"边缘。选择取决于是否需网络一体化、云原生程度与部署方式。

• mTLS 双向认证建立服务身份信任
• 证书签发（SPIFFE/CA）自动化
• 轮换与吊销的自动化

mTLS（双向 TLS）在 TLS 握手时客户端与服务端都出示证书，互相验证身份，从而在微服务间建立"身份可验证"的加密通信，是零信任中"每个服务都有可验证身份"的落地基础。自动化设计：签发——用 SPIFFE/SPIRE 或统一 CA 为每个服务颁发身份证书（SVID），服务启动时自动向 CA 请求签发短期证书；轮换——证书设短 TTL（如 1 小时），服务在到期前自动重新签发，实现"自动轮换、无需人工干预"；吊销——结合短期证书（到期即失效）与吊销列表/CRL，当服务被下线或密钥泄露时及时吊销对应证书，并通过 mTLS 校验链拒绝已吊销证书。整体形成"签发→使用→轮换→吊销"的自动闭环。

mTLS 让"身份"成为可信的加密基础。自动化的关键是把证书生命周期（签发/轮换/吊销）与系统工程化，短期 TTL 让轮换自动、吊销收敛，SPIFFE 提供统一身份格式。

• ZTNA 按应用/身份做 L7 访问
• VPN 在 L3 建立网络隧道给整网权限
• 最小权限与攻击面差异

传统 VPN 在 L3（网络层）建立加密隧道，把远程用户接入内网，用户获得的是"整网访问权限"——一旦接入即可访问内网所有可达资源，攻击面大，且边界被突破后内网暴露。ZTNA（Zero Trust Network Access）在 L7（应用层）按身份+上下文建立到具体应用的细粒度连接，用户只被授予访问"某个应用"的最小权限，其余资源不可见、不可达。本质区别：VPN 是"网络接入"（先入网再访问），ZTNA 是"应用接入"（直接访问应用，网络不可见）。ZTNA 按身份粒度连接能实现最小权限、隐藏网络拓扑、缩小攻击面，符合零信任"永不信任、按需授权"。

关键差异是"信任的粒度"。VPN 信任"入了网就安全"，ZTNA 信任"验证了身份才放行到具体应用"。ZTNA 把访问权限从"网络范围"收窄到"应用范围"。

• SPIFFE 标准与 SVID 格式
• SPIRE 的注册与颁发流程
• 工作负载身份的可验证性

SPIFFE（Secure Production Identity Framework for Everyone）是定义"工作负载身份"的标准，SVID（SPIFFE Verifiable Identity Document）是承载该身份的凭证，通常以 X.509 证书（或 JWT）形式存在，含 SPIFFE ID（URI 格式，如 spiffe://trustdomain/ns/ns1/sa/svc）标识服务的信任域与身份。SPIRE 是 SPIFFE 的实现：节点代理（server+agent）通过工作负载注册机制（如经 k8s 的 SA、节点证明）确认服务身份，动态为其签发短期 SVID 证书，并自动轮换。SVID 的可验证性来自"由可信的 SPIRE 信任域签名 + 短期有效"，任何服务都能用对方 SVID 的证书链验证其身份，从而在微服务间实现基于 SPIFFE ID 的身份认证与授权（而非 IP）。

SPIFFE 把"服务身份"标准化为可验证的 SVID，SPIRE 负责颁发与轮换。它让身份从"IP 或固定证书"升级为"动态、可验证、短期"的工作负载身份，是零信任身份认证的基石。

• 微隔离取代基于 IP 的 VLAN 分段
• 基于身份/工作负载的访问策略
• 最小权限的动态落地

传统网络分段基于 IP/子网（VLAN、防火墙规则），粒度粗、IP 易变、难以反映真实身份。微隔离（Micro-Segmentation）把网络分段下沉到"工作负载/身份"粒度：为每个工作负载（服务、容器、Pod）绑定身份（如 SPIFFE ID、标签），用身份作为访问控制的主体，而非 IP。策略依据"身份→身份"的允许关系（如 allow service A → service B），而非 IP 段。落地方式：在服务网格（sidecar）、主机代理、或云原生网络策略中定义基于身份/标签的规则，动态跟随工作负载变化；最小权限即"只允许必要的工作负载间通信，其余默认拒绝"，攻击者横向移动受限。这样即使 IP 变化或工作负载迁移，策略仍基于身份生效。

微隔离把"网络边界"从物理/逻辑网段下沉到工作负载，以身份为策略主体。它让最小权限落实到"哪个服务能访问哪个服务"，而非"哪个 IP 段能访问哪个段"。

• 持续验证而非登录时一次性授权
• 设备健康、用户行为、上下文信号
• 动态授权与风险分级调整

零信任不满足于"登录时验证一次"，而是对会话进行持续评估。信号来源：设备健康状态（补丁、EDR、越狱/root 检测）、用户行为（异常时间、异常地点、异常频率、操作模式）、上下文风险（网络信誉、IP 地理位置、敏感度、会话风险评分）。策略引擎（PDP）聚合这些信号动态计算风险，实时调整授权：风险升高时要求重新认证（MFA step-up）、收紧权限、限制访问敏感数据、甚至终止会话；风险低时保持流畅。落地：持续监控设备/行为流，用风险评分引擎动态输出授权决策，把"静态权限"变成"随风险波动"的权限，实现"持续验证、动态授权"。

动态授权是"权限随风险实时变化"。它把安全从"一次性关卡"变为"持续过程"，用设备健康、行为、上下文的实时信号驱动 PDP 决策，平衡安全与体验。

• 永不信任、最小权限、持续验证三大原则
• 内网可信模型的假设
• 根本差异：信任放在哪里

零信任三大原则：永不信任（不默认任何来源可信，包括内网）、最小权限（只授予完成工作的最小权限）、持续验证（全生命周期持续评估而非一次通过）。传统"内网可信"模型假设：进入内网=可信，防火墙/边界之外的不可信、之内可信，会话接入后长期有效。根本差异在于"信任的位置"：传统模型把信任放在"网络位置"（内网/边界），一旦进入内网即获得广泛信任，攻破边界即横向铺开；零信任把信任放在"身份+上下文+持续验证"，不因网络位置而增强信任，权限按需最小化且持续复核，从而消除"内网即安全"带来的横向移动与凭证滥用风险。

差异本质是"信任锚点"从网络移到身份。传统模型信任"位置"，零信任信任"每次验证"。这从根本上改变了侧翼攻击面与横向移动的防御思路。

• IdP 提供身份认证
• PDP 决策、PEP 执行
• 微隔离实施网络层隔离

零信任的关键组件协作：IdP（身份提供商）负责身份认证与身份源（OIDC/SSO/MFA），提供"你是谁"的判定；PDP（策略决策点）聚合身份、设备、上下文、风险信号，依据策略输出"是否允许、允许什么"的授权决策；PEP（策略执行点）位于访问通道（如网关、Sidecar、代理），强制执行 PDP 的决策并拦截/放行；微隔离（micro-segmentation）在网络上按身份/工作负载实施隔离，限制横向移动。协作流程：用户请求 → PEP 拦截 → 向 PDP 查询 → PDP 结合 IdP 身份与上下文决策 → PEP 执行 → 微隔离在路径上进一步加强。三者的协作把"身份认证、策略决策、策略执行、网络隔离"串成闭环。

IdP 认证、PDP 决策、PEP 执行、微隔离隔离，是零信任的"决策/执行分离"架构。PDP 与 PEP 分离让策略集中管理、执行分布式落地，微隔离在网络层兜底。

• 身份感知网络/微隔离的落地
• 持续验证的实现
• 二者结合

身份感知网络（微隔离）把网络访问从"基于 IP"改为"基于身份"，通过为每个工作负载绑定身份（SPIFFE ID、标签）、在服务网格或主机代理上定义"身份→身份"的允许策略，实现按身份的最小权限与横向隔离，落地工具如 Istio、Cilium、Tungsten Fabric 等。持续验证则把"登录时一次授权"升级为"会话全周期评估"：持续采集设备健康、用户行为、上下文风险信号，由 PDP 动态计算并更新授权，必要时触发 step-up 认证或收紧权限。两者结合：微隔离保证"谁在网络上能访问谁"（静态+动态的网络身份策略），持续验证保证"当前会话是否仍可信"（动态风险），共同实现"身份感知 + 持续动态"的零信任访问。

微隔离是"网络层按身份隔离"，持续验证是"会话层动态放行"。前者管网络可达性，后者管会话可信度，二者缺一不可地构成零信任的实时防护。

• PDP 与 PEP 分离架构
• 策略同步机制（拉取/推送、版本化）
• 缓存与降级、一致性保证

PDP 与 PEP 分离架构中，PDP 集中维护策略，PEP 为每个请求向 PDP 查询并执行决策。同步方式：PEP 可按需实时查询（同步模式）或拉取策略缓存（异步模式，带版本号与 TTL）；PDP 也可主动推送策略更新到 PEP。一致性保障：网络抖动或缓存过期时可降级为"最近缓存策略"（deny-by-default 或按上次授权），避免因无法查询而中断业务；缓存设置合理 TTL 保证策略更新能在有限时间生效；用版本号/签名校验缓存策略的新鲜度与完整性，防止过期或被篡改；对高风险决策采用"决策失败即拒绝"（fail-closed）而非常规降级，保证安全。设计上需权衡"可用性"与"一致性"：低风险可 fail-open 续用，高风险 fail-closed。

PDP/PEP 分离牺牲了"单点决策"换取"集中管理 + 分布式执行"。一致性靠"版本化策略 + 缓存 + 降级策略"平衡，关键是用 fail-closed 还是 fail-open 取决于风险等级。

• 短期 TTL 收窄泄露窗口
• 自动轮换机制
• 吊销与证书生命周期管理

SPIFFE SVID 用短期证书（1 小时乃至更短 TTL）显著降低私钥泄露风险：即使私钥泄露，证书在短时间内自动过期，攻击者利用窗口极短，且泄露证书无法长期复用。轮换自动化：SPIRE 代理在证书即将到期前自动向 CA 请求新证书，新证书在旧证书到期前无缝接替，实现免人工的连续轮换；服务端用新密钥重新签发，客户端凭 SPIFFE 信任链自动信任新证书。吊销自动化：短期 TTL 本身让"吊销"多数场景可被到期替代；对紧急吊销，SPIRE 信任域通过吊销列表/CRL 或撤销对应 SVID，使已签发证书在验证时被拒绝。整体闭环：签发（短期）→ 到期前自动轮换 → 泄露时紧急吊销/到期，把私钥生命周期数字化与自动化。

短期凭证是"把泄露损失降到最小"的通用策略。自动轮换消除了人工改密的痛苦，到期自动吊销收敛了泄露窗口，这是工作负载身份工程化管理的核心。

• Service Mesh 的 Sidecar 代理架构
• mTLS 与身份认证
• 细粒度授权与可观测

Service Mesh（Istio/Linkerd）通过 Sidecar 代理（作为每个服务 Pod 的伴生代理）拦截所有进出流量，天然实现零信任通信：通过 mTLS 为服务间通信建立双向认证与加密（结合 SPIFFE 身份），让每个服务都有可验证身份；配合请求级授权策略（如基于来源、路径、方法）实现最小权限访问；Sidecar 还提供流量控制与可观测性（指标、日志、追踪），为持续验证提供信号。零信任的"身份认证、加密、细粒度授权、可观测"在 Service Mesh 中由 Sidecar 自动注入，无需改应用代码，因此 Service Mesh 是零信任在微服务场景的落地载体。

Sidecar 把"安全能力"从应用代码中剥离，集中到代理层，实现透明化的 mTLS 与授权。它让零信任的每服务身份与按需授权成为基础设施能力。

• 基于身份的应用访问（Cloudflare Access）
• 基于网络的网格/点对点（Tailscale）
• 与 VPN 的安全性对比

远程办公的零信任 VPN 替代方案有两类代表：Cloudflare Access 是"应用级"零信任访问，用户经身份认证（加上设备健康、MFA）后只能访问被授权的具体应用，无需进入内网，应用不可见、不可达，符合 ZTNA 模型；Tailscale 是"网络级"方案，基于 WireGuard 建立点对点加密网格，以内网 IP 把设备/服务连接起来，设备间通过身份（登录账号）授权，实现"私有网络"但按身份授权。安全性对比：两者都优于传统 VPN（无需整网、默认拒绝、身份为中心）；Cloudflare Access 更符合"应用粒度、网络不可见"的严格零信任，Tailscale 更贴近"需要网络可达性"的场景（如访问内部服务、建立互联），但粒度是设备/网络而非应用。选型取决于是否需要网络层可达性。

两类方案都去掉了"边界 + 整网权限"，但粒度不同：Access 是应用级（ZTNA），Tailscale 是网络级（身份授权网格）。远程办公需权衡"应用粒度安全"与"网络可达性"。

• 零信任成熟度阶段
• 从网络分段到身份感知的演进
• 常见落地误区

零信任成熟度可划分为阶段：从"传统边界/网络分段"起步，逐步到"身份感知的访问控制"、"基于身份+上下文的微隔离"、"持续动态的自动化授权"。演进路径通常：先做身份认证与 MFA 统一、再按应用做细粒度授权（ZTNA）、再做微隔离限制横向移动、最后引入持续验证与动态风险决策。常见误区：把"内网隐藏/防火墙规则"当作零信任（仍依赖网络位置）；只做 MFA 没有持续验证与最小权限；用"一次性项目"而非持续演进的工程；把零信任等同于某厂商产品；忽略身份源治理与设备健康；过度追求"全部禁止"导致业务不可用。评估应关注"信任是否从网络迁移到身份、是否持续验证、是否最小权限"。

零信任是"演进历程"而非"单点部署"。成熟度在于信任锚点是否真正从网络移到身份、是否持续迭代。落地误区多源于"以为上了一个产品就是零信任"。

• 传统边界模型的局限
• 零信任的优势
• 对比结论

传统 VPN/防火墙模型以"边界"为核心：假设边界内可信、边界外不可信，通过 VPN 接入内网即获得广泛访问。局限：边界一旦被攻破（钓鱼、VPN 0day、内网横向移动），内部全部暴露；用户获得整网权限，扩大攻击面；无法应对云、移动、远程办公等"不一定在边界内"的场景；会话长时有效，难以持续防护。零信任通过"永不信任、持续验证、最小权限"消除这些局限：不依赖边界、按身份与上下文授权、整网不可见、横向移动受限。优势在于天然适配分布式与远程场景，且把信任从网络位置转移到身份与上下文。

传统模型是"单一边界信任"，零信任是"处处无信任、按需验证"。当边界消失（云、远程、混合办公），传统模型失效，零信任的"身份为核心"成为必然。

• 设备健康状态评估
• 身份与行为分析
• 持续验证与动态响应

零信任的持续验证把设备健康、身份与行为三者作为动态信号：设备健康——检查补丁、防病毒/EDR、越狱/root、是否有合规配置，不健康设备限制访问；身份——通过 MFA、SSO、SPIFFE 等确认"谁在访问"，并校验身份可信度；行为分析——监控用户/设备的行为模式（访问时间、地点、频率、操作序列），用 UEBA 检测异常行为（如异常登录、异常数据下载）。持续验证引擎聚合这些信号计算风险评分，动态调整授权：高风险时要求重新认证、收紧权限、阻止敏感操作或终止会话；正常时保持流畅。它把安全从"登录时一次关卡"变为"全程动态评估"。

持续验证是"身份+设备+行为"的多维实时评估。设备健康保证"可信设备"，身份保证"可信用户"，行为分析发现"异常的活动"，三者共同驱动动态授权。

• SASE 的云边一体化架构
• SASE 中的零信任能力
• 云边一体化的意义

SASE（Secure Access Service Edge）把网络连接（SD-WAN）与安全能力（零信任访问、防火墙、SWG、CASB）融合到云边缘节点，提供"云边一体化"的安全接入服务。零信任是 SASE 中安全服务的核心之一，ZTNA 提供按应用的细粒度访问，结合身份、设备与上下文验证。云边一体化的意义：用户无论身处何处（远程、分支、移动），都接入就近的云边缘节点，在网络入口处统一执行安全策略与零信任验证，无需回源到总部数据中心；策略在云端集中管理、边缘执行，实现"任何位置、任何设备"的一致安全接入。SASE 是"零信任 + 云原生网络"的载体，让零信任从"按应用"扩展到"全场景接入"。

SASE 是"网络即服务 + 安全即服务"的云边融合，零信任是其安全核心。云边一体化让安全策略在边缘就近执行，避免流量绕行，兼顾安全与性能。