在传统的企业网络架构中，安全防御通常建立在网络边界之上。一旦设备通过验证接入内网（例如连接传统 VPN），系统便会默认信任该设备，并开放广泛的网络访问权限。然而，随着远程办公、混合云部署和移动设备的普及，传统的静态网络边界逐渐模糊。在“默认信任”机制下，一旦某台终端被攻破或账号凭证泄露，攻击者极易在内网中横向移动，严重威胁企业的核心数据安全。
零信任网络访问（ZTNA，Zero Trust Network Access） 正是为了应对这一安全挑战而演进出的架构理念。其核心原则是：“持续验证，永不信任”。
在飞连的零信任接入体系中，系统不再依据网络位置来判断是否信任设备。无论终端处于企业内网还是公共网络，在建立任何网络连接前，飞连都会严格且动态地验证用户身份、设备合规状态以及环境上下文。同时，飞连摒弃了粗放的网络层连通，采用“最小权限”原则，仅授权终端访问其工作必需的具体应用。这种机制大幅降低了企业数据的暴露面，并有效遏制了越权访问风险。

飞连零信任接入能为您解决什么问题？ #

飞连的零信任接入体系旨在为企业提供全场景、全链路的安全网络访问能力：

• 隐藏内网资产：企业内部业务不直接对互联网开放端口。通过在网络边界部署接入网关，所有外部访问请求均由网关统一接收、验证并转发，有效抵御针对业务服务器的直接扫描与网络攻击。
• 按需建立安全通道：提供从网络层（Layer 3）到应用层（Layer 7）的多维度代理技术，满足从“研发人员使用专业工具直连内网服务器”到“外包人员通过浏览器免客户端访问系统”等多种业务诉求。
• 防止横向越权（微隔离）：通过细粒度的访问控制策略（ACL），严格限制用户仅能访问被授权的特定应用、端口或网段。即使发生账号泄露，也能将安全风险控制在最小范围内，防止黑客在内网中畅通无阻。
• 统一的远程办公体验：支持多种操作系统与多端设备接入，确保员工在家庭宽带、公共 Wi-Fi 或移动网络下均能获得一致且安全的安全办公体验。
• 精细化的审计追溯：全面记录网络访问日志，涵盖访问人员、设备状态、访问时间、目标资源及放行/阻断动作，为安全审计与异常排障提供完整的数据支撑。

飞连零信任架构的三大接入模式 #

为了满足企业极其复杂的 IT 环境和不同业务的接入需求，飞连提供了三套不同维度的零信任接入方案。它们分别作用于不同的接入形态与管控层级，共同构成了立体的防御体系：

1. 代理模式（有端接入，L4/L7 融合管控） #

• 定位：企业内部员工的标准接入方式，支持传输层与应用层的深度融合管控。
• 接入方式：需安装飞连客户端。通过客户端接管终端流量，实现“按需引流”与加密传输。
• 核心价值：最深度的安全管控。代理模式不仅能基于网络端口控制非 Web 协议（如 SSH、数据库、代码拉取），还能深入应用层对 URL 路径执行精细授权。同时，它能实时联动设备安全基线与运行进程，实现“身份+设备+应用”的动态准入，具备最强的防御能力与最佳的访问性能。
• 适用场景：适用于企业全员办公、研发协作、核心系统访问等高安全要求的场景。

2. 应用网关（无端接入，L7 应用级管控） #

• 定位：面向 Web 业务的应用层（Layer 7）零信任接入网关。
• 接入方式：无需安装飞连客户端。员工通过浏览器直接访问业务域名，由网关执行反向代理与身份校验。
• 核心价值：极速接入，身份驱动。在不暴露内网 IP 的前提下，提供基于域名的细粒度授权。由于无需安装客户端软件，该模式能有效平衡安全性与外部协作的便利性。
• 适用场景：适用于纯 Web 网页系统（如 OA、Wiki、审批系统），特别适合 BYOD（自带设备）办公、外部合作伙伴及外包人员的临时接入。

3. VPN 模式（有端接入，L3 网络级互通） #

• 定位：兼容复杂协议与老旧业务的兜底接入方式。
• 接入方式：需安装飞连客户端。建立连接后，系统通过虚拟网卡为终端分配内部虚拟 IP，实现终端与内网的完全网络对等。
• 核心价值：全协议兼容，双向连通。提供完整的 Layer 3 网络隧道能力，支持包括 VoIP 语音、复杂中间件集群发现在内的所有网络协议，且支持服务端主动探测终端，是解决复杂网络协议兼容性与老旧业务接入的最后手段。
• 适用场景：作为特殊业务的兜底方案，适用于需要反向运维探测、使用极复杂私有协议、或尚未完成应用梳理的存量业务系统。

管理员配置指南：我该如何选择？ #

在实际的企业部署中，为兼顾安全性和业务兼容性，我们建议您采用混合部署的方式，根据业务特征选择最合适的接入模块：

提示：对于需要安装客户端的“代理模式”和“VPN 模式”，飞连允许您同时部署这两种网关。员工可以在客户端界面上，根据当前访问的业务需求，在这两种模式之间自由切换。