零信任远程接入：应用发布、终端准入与迁移

1、盘点远程用户、应用和现有路径

区分正式员工、管理员、外包、供应商、合作伙伴和临时人员，记录身份来源、所属组织、负责人、认证方式、终端类型、访问应用、权限和到期条件。共享VPN账号会破坏追踪，应拆分到具体人员；暂时不能拆分的特殊账号要限制来源、目标、保管人员和有效期。

应用清单至少包含负责人、部署位置、域名或地址、协议、认证方式、用户群、敏感等级、访问时段、上下游依赖和当前入口。同步盘点VPN、端口映射、远程桌面网关、堡垒机、云安全组和供应商专线，形成用户到应用的访问矩阵，识别宽网段、无人负责应用与绕过身份源的路径。

• 人员身份和外部身份分开管理
• 应用协议、责任人与入口完整
• 旧VPN和旁路路径均进入迁移范围

2、统一身份与账号生命周期

选择权威身份源，清理重复、离职、长期未登录和孤立管理员账号。入职、转岗、离职及外部人员到期应通过正式流程同步到目录、远程接入、云服务和业务应用。应用仍使用本地账号时，要明确同步、禁用和审计方式，不能因接入平台上线就忽略应用内部权限。

管理员远程运维使用独立高权限身份，不与邮件和普通办公共用账号。服务账号和接口身份单独管理，限制交互登录并轮换密钥。身份信息变化、认证因素重置、异常注册和连续失败进入告警。紧急账号平时封存，启用时限制人员与时间，并在使用后更换凭据和复核操作。

• 身份状态与人事和合同一致
• 管理员与普通账号分离
• 服务、临时和紧急身份有生命周期

3、按风险选择认证强度

认证策略结合应用敏感度、用户角色、终端状态、访问位置和行为风险。普通低风险应用可使用企业身份和受管终端；管理员、财务、研发、生产及异常地点需要多因素或更强验证。短信验证码不应作为所有高风险场景的唯一因素，认证方式还需考虑钓鱼抵抗、设备丢失和因素恢复。

因素注册与重置本身是高风险操作，应验证申请人、记录审批并通知用户。避免把“记住设备”设置成长期绕过强认证。异常地点、短时间多次失败、同时出现在不合理位置或终端突然失管时，可要求重新认证、限制高风险功能或临时中止会话，并提供受控申诉和恢复流程。

• 认证强度与应用和角色匹配
• 因素注册、重置和恢复可审计
• 风险触发动作和解除条件明确

4、建立可解释的终端准入

终端信号应选取能稳定采集和解释的项目，包括设备登记、操作系统支持、补丁、磁盘加密、防护在线、设备完整性和高风险漏洞。先观察采集准确率和不同终端差异，再启用阻断。代理离线不应简单等同恶意，也不能长期忽略，应区分设备停用、网络问题、代理损坏或被卸载。

受管电脑、个人设备、移动设备、服务器和无法安装代理的专用终端采用不同策略。非合规终端可按风险提醒、限时整改、只读、隔离修复或拒绝敏感应用。例外必须有业务理由、批准人、应用范围和到期时间。恢复合规后验证代理和安全状态，再自动或人工恢复权限。

• 终端信号准确且有更新时间
• 不同设备类型使用分层策略
• 例外、整改与恢复全程可追踪

5、发布应用而不是开放网络

优先将访问限定到具体域名、应用和端口，使用户无法扫描不相关的内部地址。发布前核对证书、DNS、身份单点登录、长连接、上传下载、反向回调、客户端地址、超时和上下游接口。对敏感应用可进一步限制导出、剪贴板、文件传输或水印，但必须验证业务流程和性能。

应用连接器或代理部署在靠近业务的位置，限制其到内部系统的权限，并监测在线、会话、延迟、证书和资源。关键应用避免单连接器、单机房或单链路依赖。平台或连接器故障时，预先决定拒绝、只读或启用备用入口；备用入口限制人员、来源和时长，不能成为长期旁路。

• 访问范围收敛到具体应用
• 连接器权限、容量和故障域合理
• 备用入口受控且启用可告警

6、处理非Web和老旧协议

远程桌面、SSH、数据库、文件共享、ERP客户端、工业软件和厚客户端可能无法直接通过Web代理。应测试协议协商、双向连接、动态端口、打印、外设、文件传输、会话保持和延迟。根据风险选择应用隧道、受控跳板、虚拟桌面或限定网段接入，而不是为兼容性重新开放整个内网。

无法使用现代身份协议的老旧应用，可在网关前增加身份验证，但应用内部仍应保留用户与权限审计。对共享终端、固定设备和第三方系统设置专门身份与网络分区。兼容例外记录原因、补偿控制和改造期限；每次版本升级后复测，避免临时方案永久存在。

• 非Web协议完成真实客户端测试
• 跳板和隧道限定目标与权限
• 老旧兼容例外有改造计划

7、治理供应商与临时访问

供应商访问与合同、人员、工单、目标系统和时间窗口关联，使用独立身份、强认证和最小应用权限。高风险维护通过受控运维入口记录操作，必要时由内部人员批准或陪同。禁止供应商多人共享长期VPN账号，也不能让外部人员因为维护一个系统而访问整个服务器网段。

人员变更、项目结束和合同到期触发自动或人工回收账号、证书、客户端、白名单和密钥。定期核对外部账号实际登录、访问应用和异常下载。紧急远程支持可以使用预设流程快速开通，但必须限定来源、对象和时间，事后复核操作并关闭入口。

• 供应商身份能对应具体人员
• 访问范围与工单和合同一致
• 到期、退出和紧急访问均可回收

8、用代表性试点验证完整链路

试点选择边界清楚且具有代表性的应用，覆盖普通员工、管理员、供应商、受管和非受管终端，以及办公网、家庭网络和移动网络。每个用例记录用户、设备、应用、认证、预期策略、步骤和成功标准。只让IT人员使用标准电脑测试，无法发现真实业务差异。

既验证允许访问，也验证越权被拒绝、离职账号失效、终端失管后策略变化、连接器故障、日志字段、会话撤销和备用入口。问题区分身份数据、终端采集、应用兼容、网络路径、容量和用户流程，设置责任人和复测。试点指标同时关注安全覆盖、访问成功、时延和支持量。

• 试点覆盖代表用户、终端和网络
• 允许、拒绝与故障场景都测试
• 问题关闭后有复测证据

9、分批迁移并收敛旧VPN

按应用或部门分批迁移，准备用户通知、客户端安装、因素注册、测试窗口、支持渠道和回退。每批明确旧入口并行期限和关闭条件，监测仍使用旧VPN的人员、流量和原因。迁移不是只把客户端换掉，还要更新工单、培训、运维和应急文档。

关闭旧VPN前核对低频业务、月末批处理、灾备、外部接口和紧急运维。通过VPN、防火墙、DNS和身份日志确认主要访问已切换。不能立即关闭的路径缩小到指定人员、来源、应用和时间，并设置到期和告警。每批结束形成配置、例外、遗留风险和业务确认。

• 每批迁移有支持与回退
• 旧VPN使用可以度量和归因
• 旁路入口有明确关闭时间

10、持续运营、审计与故障演练

运营指标包括身份和终端覆盖、关键应用强认证、非合规终端整改、例外到期、访问失败原因、旧VPN流量和高风险事件关闭。登录次数和拦截总量不能独立证明效果。每月复核异常认证、外部账号、长期例外、连接器状态和用户失败，每季度与应用负责人复核权限。

平台管理员使用独立身份、强认证和分权角色，配置、证书、连接器密钥和恢复资料受控备份。集中记录用户、设备、应用、策略、认证、风险和管理员操作，并监测日志中断。演练身份源、连接器、链路和平台故障，验证告警、备用入口、业务、回退与事后关闭。

• 指标同时覆盖安全与体验
• 平台配置、密钥和管理员受保护
• 身份、连接器和链路故障完成演练

实施检查表

• 远程员工、管理员、供应商和临时人员是否分别管理
• 应用、协议、负责人、身份方式和现有入口是否完整盘点
• 离职、转岗和合同到期是否能同步回收远程权限
• 关键应用和高权限访问是否使用匹配风险的强认证
• 终端合规信号是否准确并为不同设备制定策略
• 连接器权限、容量、健康检查和故障域是否经过验证
• 非Web、厚客户端和老旧协议是否完成真实业务测试
• 供应商访问是否关联人员、工单、应用、时间和操作记录
• 试点是否验证正常、越权、终端失管和故障场景
• 旧VPN、端口映射和旁路是否有收敛与关闭计划
• 访问失败、例外、外部账号和旧入口是否持续复盘
• 身份源、连接器、链路和平台故障是否完成演练

常见问题

零信任远程接入是否必须安装客户端？

取决于应用协议、终端信号和控制要求。部分Web应用可无客户端访问，非Web协议或终端准入通常需要客户端、隧道或受控跳板。

上线后能否立即关闭旧VPN？

应先完成代表性试点、分批迁移、低频业务核对和回退验证。并行期要可度量并有截止日期，不能无限保留。

个人设备能否访问企业应用？

可按数据和应用风险决定。通常应限制应用范围和敏感功能，采用强认证、隔离浏览或只读等控制，并明确数据落地规则。

连接器故障时是否应默认放开？

不应统一处理。高风险应用通常拒绝或限权，关键业务可启用经批准的受控备用入口，并限制人员、来源和时间。

参考资料

• NIST SP 800-207：Zero Trust Architecture
• CISA：Zero Trust Maturity Model 2.0

相关推荐

• 企业防火墙选型：按业务流量核算性能
• 企业交换机怎么选？250人办公网络组网方案详解
• 零信任安全架构是什么？企业远程办公安全方案解析
• 等保三级测评流程详解：从定级备案到测评通过全指南