從需求出發，盤點適合用 ZTNA 替代 VPN 的 3 個場景
責編：gltian ｜2022-06-21 11:34:43隨著零信任理念的提出，對于零信任網絡接入產品 ZTNA 能否取代 VPN 的討論聲音不斷。
這是一項新技術提出后，在市場化過程中的必經之路。
ZTNA 與 VPN 是網絡安全行業的兩個標桿性技術，解決企業遠程訪問、安全連接等場景的問題。我們在衡量孰優孰劣時，并非越先進的技術越好?；貧w本質，技術的價值體現在實際的需求場景及落地實踐過程中，關注誰對當前業務效率提升更大、落地成本更低。
拋開實際場景來談相互替換，則沒有實際意義。
關于 VPN
VPN?最初是通過隧道技術，利用公共互聯網絡虛擬出一個點到點的專線技術，它滿足了內部員工在外面訪問內部網絡的需求，并且比搭建物理專有網絡更便宜，接下來二十年發展，VPN 成為遠程員工訪問公司網絡資源的一個常用方式。
其中，隧道協議是 VPN 的核心之一，隨著業務需求的不斷變化，PPTP VPN、L2TP VPN、Open VPN、SSH 等類型的 VPN 先后出現，在更多廠商的參與下，信息安全、訪問控制等管理向功能也加入起來，VPN 在網絡安全上作用逐漸變大。
本質上來講?VPN?是一種遠程接入的技術，起初設計的核心主要為滿足遠程接入需求，在安全性上并未有太多關注。第一個隧道協議 PPTP 協議雖然連接速度上優勢明顯，但也是業界公認的不安全協議之一。
如今隨著越來越多廠商參與，VPN 在隧道協議上有了更多可選，也根據使用場景發展出了遠程訪問VPN、LAN 間互連 VPN。
傳統技術的遺留問題
如上面所說，VPN 自設計之初，并非純粹的安全解決方案，雖然能以低成本的方式解決解決遠程訪問的需求，但因為本身的架構設計，也存在很多問題需要借助其他技術方案聯合優化
- 安全性：VPN 的安全性問題體現在多個方面。VPN 承擔起內部網絡和互聯網的隧道，使得火墻端口和網絡服務器暴露，成為滲透攻擊的入口。而 VPN 一旦鏈接，用戶可以不受限制的訪問內部網絡，對于數據的權限控制能力弱，黑客通過橫向移動造成更大規模攻擊。
- 配置復雜：VPN 的安全性是需要復雜的配置來彌補，打開防火墻端口、進行 DDOS 攻擊屏蔽和網絡應用攻擊屏蔽等等需要耗費大量成本。另外針對員工內部數據訪問配置還需要額外部署。
- 適配和擴展性：對于現代其也將很多系統部署在非公司網絡下的云環境內，這部分資源是無法利用 VPN 進行控制的。此外員工的設備也多種多樣，企業 IT 在管理的時候也會遇到擴展性難題。
因此，在解決遠程網絡接入需求時，VPN 是一個最直接的工具，也是將需求快速實現落地的解決方案。但正如我們在遺留問題中所提到，在更復雜的場景中，VPN 就會顯得無法承載。
關于 ZTNA
零信任網絡訪問?Zero Trust Network Access?(ZTNA) 也有一段比較長的演進時期，但它仍是一個最近幾年才被提出的概念，下面是它的發展的幾個關鍵節點：
- 1994 年，Stephen Paul Marsh 在他的博士論文中首次提到了“零信任”一詞
- 2010 年，Forrester 分析師 John Kindervag 使用術語“零信任模型”表示更嚴格的公司內部網絡安全計劃和訪問控制。隨后幾年，谷歌開始在其“BeyondCorp”安全計劃中應用這些模型。
- 2019年，由 Gartner 提出了零信任網絡訪問(ZTNA) 一詞，代表了一組旨在安全訪問私有應用程序的新技術。
ZTNA 技術一經公布，就是面向現代網絡環境和現代工作方式的。一方面面向來自不斷進化的網絡攻擊，一方面面向更加多樣且復雜的企業員工及數字資產，做好不同身份的用戶、業務系統和數字資產之間的連接。
新興技術帶來的優勢
ZTNA 作為近幾年興起的新技術，天生帶著變革的基因，但它不是為了替代 VPN 而設計，而是為了應對當前更加多樣化的需求。尤其在以下方面表現出明顯優勢：
- 安全性
減少系統暴露：在訪問應用時，需要首先通過 ZTNA 的驗證，因此 ZTNA 不向網絡暴露 IP 地址。除了自身權限內的應用，網絡其他部分對于連接的設備來說仍然不可見。
規避橫向移動：微分段的設計，可以為每個應用設定單獨的訪問控制。攻擊者無法獲得其他微分段的訪問權限
持續、多維度的安全監測：零信任理念假設任何人、設備、網絡都是不受信任的，通過持續的、多維度的安全監測，這是和傳統 IT 理念的重要區別之一
- 管理
用戶系統設備統一管理：通過統一的 ZTNA 管理后臺，完成對用戶、設備、策略、應用的管理，這樣大大提升 IT 人員管理效率
靈活的接入訪問策略：不僅僅是驗證訪問者身份，同時還能針對設備基線、所處網絡環境、文件完整度等多維度設定驗證策略，任意一項存在風險，都將觸發制定安全策略
最小化授權：ZTNA?將成為應用訪問前的一道關卡，每個訪問者都將對應與之匹配的最低應用訪問權限，這是?VPN?所不具備的管理能力
- 體驗
不受帶寬限制：基于云端的 ZTNA 將可以更快響應訪問者的請求，即使大規模的應用訪問，也不會因為帶寬的瓶頸而影響訪問體驗
可擴展易部署：針對多樣性的身份和應用，也可以通過后臺進行快速擴展。基于云端或者輕量的客戶端，對于用戶而言也可以快速完成部署
全平臺使用，無縫體驗：ZTNA 支持桌面端和移動端的多種接入方式，滿足現代化工作方式隨時隨地、任意設備接入的需求
適合用 ZTNA 替代 VPN 的 3 個場景
在了解完 VPN 和 ZTNA 的發展和各自特點后，我們能夠清晰的看到 ZTNA 備受關注的原因。它是更適合采用現代辦公方式管理網絡訪問需求的方案。
而 VPN 我們則要分兩方面來看待，一方面對于 VPN 產品，ZTNA 是一個很有力的競爭者，在彌補 VPN 產品不足的同時，還帶來的多方面的安全改進，是更加完整的網絡安全接入解決方案。另一方面，對于 VPN 技術，它仍將給予 ZTNA 產品更多啟發，持續提升網絡接入體驗，滿足企業在更多場景的接入需求。
因此，“ZTNA 能否替換 VPN 產品”不會是一個是或者否的二維結論，而是根據企業當下場景和發展需求，進行最佳判斷。適合用 ZTNA 替代 VPN 的 3 個場景如下：
- 面向身份的管理
來自不同身份的用戶，如企業員工、外包、第三方公司等等，都有訪問業務系統的需求。在過去不同身份的用戶權限缺乏管理，授予相同訪問權限風險很大。ZTNA 擁有靈活的最小化授權功能，可以針對用戶身份進行對應最小化權限分配，減少不必要的風險訪問。
- 面向業務系統的管理
在業務系統角度也發生了很大的變化，如今業務上云非常普遍，公司數字資產包往往分布在多云環境中。單純的內部網絡管理不足以完成所有系統的管理，ZTNA 可以將多樣的網絡進行統一的訪問策略管控，做到數字資產統一管理。
- 面向不同登錄方式的管理
用戶自帶設備 BYOD 是訪問公司網絡的設備入口，安全性同樣需要得到重視。ZTNA 將兼容傳統C/S應用的客戶端、Agentless 的 B/S 應用，以及輕量的 SSH、RDP 應用代理場景。滿足不同設備網絡接入問題，多端適配。
例如在大型攻防演練實戰中，當我們選擇什么樣的技術保障網絡接入安全時，需要結合自身需求場景、當前防御弱點等方向對網絡狀態做全面評估，才好根據核心需求選擇適合的技術方案。根據需求，在這個場景中，ZTNA 將是一個更符合需求的技術方案。
關于雪諾云ZTNA
雪諾云 ZTNA 完整落地零信任理念，并在此基礎上優化適合國內企業的辦公方式。搜索“snowtech.com.cn”，和解決方案專家預約一對一溝通，探索最佳實踐方式。