ZTNA vs VPN：真正的区别是什么？

零信任网络访问和远程访问 VPN 都可以为私有资源提供安全连接，但两者从不同的架构假设出发。

传统远程访问 VPN 通常先建立到私有网络的连接，然后依赖路由、防火墙规则、网络分段、身份系统和其他控制手段，决定已连接终端能够访问什么。

ZTNA 则把授权决策更靠近资源：当前条件下，这个用户在这台设备上，是否应该被允许访问这个资源？

这才是关键区别。ZTNA 并不只是更新的 VPN 协议。

简要对比​

两种架构都可以安全部署。区别在于授权从哪里开始，以及访问范围表达得有多精细。

传统远程访问 VPN 如何工作​

远程访问 VPN 在终端与 VPN 网关之间创建加密连接。连接建立后，终端会根据部署获得相应路由或其他网络可达性。

组织完全可以——而且经常会——在连接周围增加强控制，例如：

• MFA
• 防火墙规则
• ACL
• 网络分段
• 终端姿态
• 身份感知网关
• 特权访问流程

设计良好的 VPN 部署并非天然不安全。

真正的运营挑战在于，当资源授权分散在多个系统中时，用户可能先在 VPN 处完成认证并获得网络连接，随后又在环境中的其他位置遇到附加控制。

ZTNA 如何工作​

ZTNA 不会把网络位置或隧道成员身份本身视为充分授权。

ZTNA 策略可以考虑以下信号：

• 用户身份
• 角色或群组
• 已注册设备
• 设备姿态
• 请求的资源
• 时间和位置
• 审批状态
• 访问时长
• 加强认证要求

英国国家网络安全中心（NCSC）将设计良好的 ZTNA 架构描述为：显式授权访问、限制应用暴露和横向移动、持续验证访问，并尽量缩小授权范围。

阅读我们的 ZTNA 工作原理指南

网络访问 vs 资源访问​

最清晰的架构差异是访问范围。

传统远程访问 VPN 中，管理员通常从网络可达性的角度思考：连接后的终端可以访问哪些子网、路由、端口或安全区域？

ZTNA 则从受保护资源开始。

例如：

• 开发人员可以访问开发系统，而不获得对生产网络的广泛访问
• 财务用户可以访问会计应用，而无需获得周边子网的一般可达性
• 承包商可以在固定期限内只获得一个应用的访问权限
• 管理员访问敏感资源前可以被要求先申请审批

目标是让“允许访问什么资源”变得明确。

身份不只是登录​

VPN 和 ZTNA 产品都可以与现代身份提供商集成。

区别在于认证完成后，身份还如何被使用。

在 ZTNA 中，身份通常是资源访问决策的多个输入之一。用户角色、当前群组成员关系、设备、设备姿态、资源和其他上下文都可以参与策略。

因此，身份不仅用于建立会话，也直接参与授权。

设备信任​

用户名无法说明是哪台终端在请求访问。

ZTNA 产品通常会把设备与用户分别表示，并可纳入操作系统状态、MDM 合规性、EDR 风险、证书或其他信任指标等姿态信号。

VPN 产品同样可以使用设备姿态，尤其是在更广泛的安全访问或终端安全技术栈中。因此，设备信任并非 ZTNA 独有。

真正的架构问题在于：设备上下文是否是资源授权中的直接、一等输入。

持续执行​

访问决策可能会过时。

角色可能变化，临时访问窗口可能到期，设备可能失去合规状态，安全团队也可能撤销用户权限。

ZTNA 架构围绕持续策略执行设计，而不是把一次成功连接视为整个会话期间永久有效的授权。

产品检测并响应变化的速度取决于具体实现。

客户端访问与无客户端访问​

ZTNA 并不意味着只有一种终端架构。

客户端访问​

客户端或代理可以建立安全连接，并支持浏览器之外的协议。ZTXGate 的受管访问路径使用基于 WireGuard 的传输。

无客户端访问​

对于 Web 应用，一些 ZTNA 平台可作为身份感知 HTTP/HTTPS 代理，使终端无需安装网络隧道软件。

ZTXGate 将无客户端 HTTP/HTTPS 访问作为许可功能提供。

了解无客户端 ZTNA

控制平面和数据平面同样重要​

两个产品都可以称为 ZTNA，但运营模式可能完全不同。

值得询问的问题包括：

• 谁运营控制平面？
• 策略是否依赖供应商托管的云服务？
• 应用流量经过哪里？
• 如果互联网连接中断会怎样？
• 系统能否长期完全断网运行？
• 谁负责升级、备份和可用性？

这些问题通常比功能列表上是否有某个缩写更有评估价值。

对比自托管与云交付 ZTNA

VPN 仍然适用的场景​

ZTNA 并不是所有 VPN 场景的通用替代品。

如果确实需要在可信环境或终端之间提供广泛网络连接，VPN 仍然很合适，例如：

• 站点到站点连接
• 基础设施网络互联
• 明确需要广泛协议或子网访问的管理场景
• 现有分段与访问控制已经满足要求的简单环境

WireGuard 本身是非常优秀的安全传输协议。关键区别在于：安全传输和零信任授权解决的是不同问题。

了解 WireGuard 如何融入 ZTNA

迁移不必一次完成​

组织可以逐步引入 ZTNA。

一种实用顺序是：

1. 选择一小组用户
2. 确定少量私有资源
3. 定义身份和设备要求
4. 让 ZTNA 与现有 VPN 并行运行
5. 验证访问与运营流程
6. 根据需要继续迁移其他资源

这样，现有 VPN 仍可保留给确实需要它的场景。

ZTXGate 的定位​

ZTXGate 围绕资源级授权设计，并支持由客户或 MSP 运营的部署模式。

它结合了：

• 用户与设备身份
• 设备姿态集成
• 资源策略
• 临时访问与申请审批式访问
• 持续策略执行
• 基于 WireGuard 的受管连接
• 许可式无客户端 HTTP/HTTPS 访问
• 审计与 SIEM 集成
• 独立和隔离运行，无需强制 CoreZT 托管的云控制平面

对于希望集中管理许可和更新的联网部署，可选的 ZTXHub 服务由 CoreZT 拥有并运营。

了解 ZTXGate · VPN 替代 · 开始免费试用

延伸阅读​

• NCSC：ZTNA 简介
• ZTXGate ZTNA 如何工作