昨天分享了一篇關于可信計算文章，今天分享關于零信任網絡架構設計文章，本人不太愿意寫細節文章，主要是我們一起把思路理順，后期落地有方向即可，如有錯誤或不夠細節地方，還請見諒，有問題咱們一起溝通交流！
一、什么是零信任
零信任簡單來講是對于網絡環境中，主機設備、網絡通信、應用系統等都不可信，只有授權可信后方可進行相關訪問。零信任假定是：
- 網絡都不可信，時刻有危險；
- 網絡中存在內部與外部威脅；
- 之前當以的網絡識別（如Ip）可信程度不高；
- 網絡中各個環境都需要授權認證后方可進行訪問。
零信任假設
二、google BeyondVCorp架構設計
隨著google業務不斷發展，基于邊界的安全防護已經不能滿足google安全需求，所以google下定決心，重構內部網絡安全架構，這就是BeyondVCorp的誕生。
google BeyondVCorp架構設計
- 設備清單庫：受控設備，以該庫為基礎。系統會持續監測該設備，如果出現異常，則記錄狀態為不可信。
- 清單庫中狀態分為：未注冊（初始狀態）、已注冊（系統有等級）、不可信（不符合要求）、可信（符合要求）。
- 設備身份：每個受控設備都有一個唯一身份，同時查詢清單庫的相關信息，只有在設備清單庫登記且狀態為可信的才可以獲得設備征收。為避免設備證書竊取，可放在TPM模塊中（具體可信見我淺談可信計算，如有需要，我會寫篇詳細介紹）。
- sso：用戶集中式認證，實現內部單點登錄。需要進行雙因子認證。用戶認證成功后，賦予該用戶token信息，用戶資源訪問授權使用。
- 代理網關：主要是實現負載均衡，對用戶和設備進行認證、對用戶和設備進行授權、網絡準入控制、網絡審計等。
google零信任整體實現效果簡單舉例來說：
- 只允許公司派發電腦，且補丁更新最新的電腦進行訪問。
- 訪客區電腦，只有補丁更新最新才能進行相應訪問，否則進行修復區進行補丁升級。修復區限制網絡訪問。
三、零信任架構實戰設計
通過對google的零信任簡單描述后，下面我們設計相對可落地的零信任網絡架構（我們以目標為導向，分步實施）。在設計之前，我們需要從設備、網絡、應用等幾個層面需要了解的關注點。
零信任架構設計關注點
- 設備層面：可信環境（具體可信見我淺談可信計算，如有需要，我會寫篇詳細介紹）、漏洞信息、補丁信息、防病毒信息等；
- 網絡層面：安全域的規劃、身份認證規劃、授權及訪問控制規劃、流量審計關注點；
- 應用層面：SSO設計、業務系統的身份認證規劃、存儲中臺設計；
零信任架構設計
架構參考
- 代理網關。可以根據Janusec進行改造。功能包括：反向代理、接入身份認證、網絡接入授權、網絡訪問控制、網絡層審計、資產保護。
- radius。可以根據freeRadius進行改造（近期我會一篇關于freeRadius的部署及測試文章最為延展）。
- SSO。可以根據JA-SIG CAS進行改造。
以上就是我的整體零信任思路架構介紹。
