随着远程办公和云使用的进步，仅使用传统 VPN（虚拟专用网络）在公司内部和外部提供灵活且强大的安全措施变得困难。
这就是为什么一种名为“零信任”的新网络安全概念受到关注。
在本文中，我们将通俗易懂地解释零信任和 VPN 之间的基本区别、各自的优缺点、企业引入它们的时机以及使用它们时的注意事项。
对于那些感受到 VPN 局限性的人或正在考虑实施零信任的公司负责人，请将此作为参考。
零信任和VPN最大的区别在于“信任”的基本概念。
由于每个模型都假定不同的“安全边界”，因此安全设计和操作策略存在显着差异。
| 项目 | VPN | 零信任 |
|---|---|---|
| 安全模型 | 境界型（内部＝安全） | 无边界（全部已验证） |
| 信任的前提 | 一旦您加入公司，您就可以信任它。 | 不要总是相信任何人 |
| 访问控制 | 广泛允许（放宽） | 最低限度必要（严格） |
| 内部风险应对措施 | 弱（容易受到内部欺诈） | 强大（不断内部验证） |
VPN
VPN 背后的理念是，一旦您进入内部，您就是安全的。
VPN 是
- 公司网络（内部）安全
- 外部网络（互联网）存在危险
它是基于“边界安全模型”设计的。
换句话说，假设如果您可以使用 VPN 连接到公司的网络，您就可以相对自由地访问那里的资源。
一旦被信任，在很多情况下就不再进行详细验证，从而留下内部欺诈和恶意软件传播的风险。
零信任
零信任的概念是“零=什么都不信任”。
验证所有访问，无论是在公司内部还是外部
经常检查用户、设备、位置信息、通讯内容等。
仅允许最低限度的必要访问（最小权限原则）
有了这个概念，“通过VPN连接=安全”的想法就不再适用，并且通过每次重新确认所有请求来加强安全性。
零信任和 VPN 的工作原理和功能有何不同
零信任和VPN都是增加网络安全的方式，但接入机制、保护目标、控制方式等有很大不同。
| 项目 | VPN | 零信任 |
|---|---|---|
| 连接方式 | 通过加密隧道连接到您的公司 | 每次访问的认证和授权 |
| 保护单元 | 整个网络（内部 LAN） | 对于每个应用程序/服务/数据 |
| 认证时机 | 仅当连接时 | 每次访问都进行验证（持续） |
| 设备认证 | 基本上没有/弱 | 是（检查状态和安全级别） |
| 适应性 | 专注于本地网络 | 擅长云/混合环境 |
| 运营形象 | 连接VPN=在公司内部自由运作 | 每次访问仅允许进行最少的必要操作。 |
VPN
VPN 是一种允许您通过在 Internet 上创建加密虚拟隧道来安全访问公司网络的系统。
主要特点：
通讯加密（内容无法被第三方看到）
IP地址保密（位置信息保护）
远程连接到公司网络
特征：
连接后，您可以广泛访问内部资源（文件服务器、业务应用程序等）
通信安全性高，但连接后访问控制有限
关键是你能不能“进入”公司网络。
零信任
零信任是一种安全模型，每次都会验证“谁、在哪里、从什么地方访问”，并且只允许在授权范围内进行访问。
它不像 VPN 那样假定“边界”，而是持续监视和控制所有通信和操作。
主要特点：
多重身份验证 (MFA)
设备认证/状态检查
每次访问实时授权
应用最小权限策略
持续活动监控和日志管理
兼容云环境（包括SaaS和IaaS）
特征：
通过访问目标（应用程序、数据单元）进行控制，无论是公司内部还是外部
根据 ID、设备、位置和风险级别动态确定访问权限
通过资源而不是网络构建安全性
零信任和VPN在操作和实施上的差异
零信任和 VPN 不仅在安全功能和概念方面存在显着差异，而且在引入的难易程度、运营负担、成本和灵活性方面也存在显着差异。
在这里，我们将比较和解释企业和组织在实际引入和运营时的差异。
| 项目 | VPN | 零信任 |
|---|---|---|
| 易于实施 | ◎ 操作简单、成本低 | △ 设计和准备需要时间 |
| 运用负荷 | ◯ 相对较轻（但易于管理） | △ 需要策略、日志管理等高级操作 |
| 安全管理 | △ 连接后控制有限 | ◎ 可严格控制每次访问 |
| 可视性・监视 | △ 限定的 | ◎ 支持高级日志记录、分析和异常检测 |
| 可扩展性/灵活性 | △ 基地和云层较弱 | ◎ 轻松支持多地点、SaaS 和 BYOD |
VPN
VPN 的操作和实施方面如下。
易于实施
可以在短时间内以相对较低的成本引入
即使对于中小型企业也易于实施
您只需在内部服务器或路由器上设置 VPN 功能即可开始使用它。
操作特点
管理连接的用户有点简单
连接后，您可以访问广泛的区域，因此权限管理往往有点宽松。
VPN账户泄露/重复使用的风险
有限的监控和可视化功能
可扩展性/灵活性
随着同时连接和位置数量的增加，VPN 服务器性能和带宽成为瓶颈。
对云环境的有限支持（本地）
零信任
零信任的操作和实施方面如下。
实施难度
初步设计需要时间和工时（政策设计、系统协调、终端管理等）
可能有必要审查全公司范围的访问管理。
需要与专用工具结合（例如 ZTNA、IDaaS、EDR、CASB 等）
操作特点
可以进行详细的访问控制（最小权限）
根据ID、设备、位置信息等实时判断访问可用性
持续监控用户和设备行为
高可见性有助于及早发现未经授权的访问和内部风险
可扩展性/灵活性
灵活支持云、SaaS 和远程环境
即使用户和位置数量增加，也可在不依赖网络的情况下进行扩展
零信任和 VPN 的主要用途
VPN 和零信任各有其优点和局限性。
与其说哪一种更好，不如根据组织的规模、目的和 IT 环境适当地使用它们，这一点很重要。
下面，我们将针对每种具体情况比较 VPN 和零信任的适当用途。
什么时候适合VPN？
| 情况 | 原因 |
|---|---|
| 中小型企业/部门远程连接 | 易于实施且成本低 |
| 提供临时远程办公和出差 | VPN 足以满足短期使用 |
| 基于内部局域网的工作环境 | 适合以内部网络为中心的工作 |
| 仅访问特定应用程序/文件服务器 | 如果您只需通过加密通信即可实现您的目的，那么简单的 VPN 就可以了。 |
什么时候适合零信任？
| 情况 | 原因 |
|---|---|
| 完全远程/混合工作已成为常态 | 易于应对用户和设备的多样化 |
| 大量使用云服务（SaaS） | 需要无边界访问控制 |
| BYOD（使用个人设备）和外包很常见 | 实现逐设备验证和动态策略应用 |
| 我想认真降低安全风险 | 启用持续监控和零信任验证流程 |
| 人们担心信息泄露和内部不当行为。 | 易于访问控制和可视化日志 |
概括
虽然 VPN 易于部署并且能够很好地用于某些目的，但在当今复杂的 IT 环境中，它们变得越来越难以解决。
另一方面，零信任是一种基于“始终验证一切”理念的高级安全模型，可以提供更灵活、更强大的保护。
对于想要逐步增强安全性的公司和组织来说，混合操作（例如“在使用 VPN 维护基础知识的同时从关键系统引入零信任”）可能是一个现实的选择。