零信任网络架构的设计与实施：从Google BeyondCorp到通用方案

零信任网络架构的设计与实施：从Google BeyondCorp到通用方案

零信任不是产品而是架构哲学：不信任任何网络位置，持续验证每一次访问。Google BeyondCorp是零信任的原型——Google员工不连VPN，所有应用访问都通过一个反向代理，该代理在每次请求时验证用户身份、设备健康状态和访问权限。

技术实现的三层组件：身份感知代理（Cloudflare Access/Pomerium/oauth2-proxy）替代VPN，所有内部应用从公网直接访问但需经过身份验证。设备信任引擎——验证访问设备的合规性：是否有磁盘加密、是否运行了最新的安全补丁、是否有EDR Agent在运行。不合规设备即使有正确的用户名密码也被拒绝。动态策略引擎——基于用户角色、设备状态、访问时间和数据敏感度实时计算访问决策。零信任的部署是逐步的：先对非关键应用部署代理，验证可行性后再扩展。