零信任网络架构
导语：“内网即安全"早已破产。零信任主张"永不信任、持续验证”，无论来自内网还是外网，每次访问都校验身份、设备、上下文。它是现代网络安全的总纲。
一、为什么要关注
- 内网横向移动是勒索扩散主路径；
- 远程办公让边界模糊；
- 等保与监管倾向"最小权限+持续认证"。 零信任把安全从"位置"转向"身份"。
二、核心原理（多厂商客观对比）
零信任由策略引擎、PEP、身份源构成，结合 SDP/微隔离，各厂商落地形态不同。
| 厂商 | 落地形态 | 命令风格特点 | 适用场景 |
|---|---|---|---|
| 华为 | 零信任方案 | 控制器+网关 | 大型企业 |
| 新华三 H3C | 安全大脑 | 类华为 | 园区/政务 |
| 锐捷 | SDP/微隔离 | 类 Cisco | 教育/企业 |
| 思科 | ZTNA | 方案化 | 跨国部署 |
| 迈普 | 国产零信任 | 信创体系 | 政务内网 |
| 信创国产 | 各有实现 | 自主可控 | 涉密环境 |
三、落地做法/步骤（各厂商命令语法略有差异，以下为通用思路）
- 梳理资产与访问关系，定义最小权限；
- 部署身份源（AD/IDP）与策略引擎；
- 用网关/SDP 做访问代理，隐藏资源；
- 主机微隔离收敛东西向；
- 验证：无合法身份/健康设备即拒。 通用建议：零信任是演进，不是推倒重来，先保护关键资源。
四、网络如何为数据存储/备份提供安全底座
五、常见误区
- 以为上 VPN 就是零信任，仍基于位置；
- 只做网关不做微隔离，东西向裸奔；
- 一次性大改，业务中断。
六、小结与行动建议
零信任 = 身份为中心 + 最小权限 + 持续验证 + 微隔离。先从存储管理面起步，逐步覆盖全网，是数据安全的现代范式。