关于服务
翻译我基于最小权限原则设计网络访问，因此用户、服务和设备都不会因为在您的边界内而被视为可信。旧的单一VPN网关后面的扁平企业网络模型正是攻击者所依赖的：一旦凭证被盗，他们就可以在您的基础设施中自由漫游。我用身份感知访问替代它，每个请求都会根据您的身份、您连接的设备以及您实际被授权访问的内容进行检查。访问变成了一组明确的、可验证的决策，而不是嵌入网络拓扑中的假设。
在实践中，我映射您的应用程序和数据流，描述段和策略，并在内部服务前放置身份感知代理或ZTNA代理。我依赖于能够处理生产负载的工具：WireGuard和Tailscale用于加密的设备到服务隧道，互相TLS和短期证书用于服务身份，设备状态检查以确保未打补丁或未管理的笔记本电脑无法访问生产。在工作负载之间，我引入微分段，以确保一个被攻陷的区域不会导致整个系统的漏洞，并连接日志记录，以便每个访问决策都可以被审计。
我提供可工作的、文档化的配置，而不是幻灯片：政策描述、网络图、不会在迁移中途切断人员的实施计划和回滚路径。我已将团队从旧VPN迁移，零停机时间，并显著缩小了攻击面。我准备从对您当前访问模型的点评估开始，然后逐步引入零信任，以便在最有影响的地方实施。
— ZTNA和身份感知代理在内部应用程序前
— 使用WireGuard和Tailscale的网络，而不是传统VPN
— 微分段、设备状态和mTLS服务身份
— 审计日志、政策文档和分阶段迁移计划
在实践中，我映射您的应用程序和数据流，描述段和策略，并在内部服务前放置身份感知代理或ZTNA代理。我依赖于能够处理生产负载的工具：WireGuard和Tailscale用于加密的设备到服务隧道，互相TLS和短期证书用于服务身份，设备状态检查以确保未打补丁或未管理的笔记本电脑无法访问生产。在工作负载之间，我引入微分段，以确保一个被攻陷的区域不会导致整个系统的漏洞，并连接日志记录，以便每个访问决策都可以被审计。
我提供可工作的、文档化的配置，而不是幻灯片：政策描述、网络图、不会在迁移中途切断人员的实施计划和回滚路径。我已将团队从旧VPN迁移，零停机时间，并显著缩小了攻击面。我准备从对您当前访问模型的点评估开始，然后逐步引入零信任，以便在最有影响的地方实施。
— ZTNA和身份感知代理在内部应用程序前
— 使用WireGuard和Tailscale的网络，而不是传统VPN
— 微分段、设备状态和mTLS服务身份
— 审计日志、政策文档和分阶段迁移计划
