零信任 or VPN

在传统网络架构中，多数企业使用VPN实现用户在外网对内网应用的访问。但VPN是为了解决连接的问题而设计的，其架构本身没有考虑资源安全问题。通过VPN 连接，与资源在同一网络后，资源就面临直接暴露的风险。

传统的VPN架构通常基于网络边界的信任模型，即一旦用户通过VPN连接到企业内部网络，就被视为可信任的内部用户。这种模型假设网络边界是安全的，但实际上网络边界往往容易受到各种威胁和攻击。且通过VPN连接到企业内部网络后，远程用户能够直接访问网络上的所有资源，这包括文件服务器、数据库、应用系统等。这种直接暴露的方式使得资源面临更高的安全风险，因为任何潜在的威胁或攻击都可能在未经授权的情况下访问这些资源。

同时VPN通常缺乏细粒度的访问控制机制。它通常只能根据用户的网络位置或IP地址来授权访问，而无法根据用户的身份、设备状态、行为等因素进行动态授权和访问控制。这可能导致未经授权的访问和潜在的安全风险。

而如果使用零信任安全架构来构建网络，则可以很大程度避免以上问题。

零信任安全架构的一个重要组成部分就是零信任网关。其通常部署在网络入口或应用服务前端，分隔用户和资源，对所有流量强制执行访问控制策略。这个安全网关包含多个组件，如安全客户端、动态访问控制引擎、智能安全大脑和身份管理等，它采用应用代理等技术来实现用户对应用的安全访问。

在零信任模型中，用户访问和API调用的请求会被零信任网关统一代理，外部仅暴露网关的IP和端口，从而收敛应用服务的网络暴露面。同时，零信任还强调了对用户身份、设备、行为等多个维度的实时验证和授权，以确保访问的安全性。

对比一下，使用VPN时，用户一旦连入内部网络，在缺乏其他安全设备和策略的情况下，理论上即可访问网络中的所有服务和应用而不受监管控制。而在零信任架构下，用户的任何流量行为都会被零信任网关监控和管理。

虽然零信任和VPN不是同一维度的概念，但零信任架构的具体实现却可以成为代替传统VPN的一种选择。