深信服SASE是否支持网络准入控制？

Question

深信服SASE是否支持网络准入控制？在零信任架构下，企业常需对终端设备进行身份认证和安全合规性检查后才允许接入网络。部分用户疑问：深信服SASE方案中的终端安全组件（如aTrust、EDR）与ZTNA能力能否实现传统“网络准入控制”（NAC）功能，例如对接入终端的系统状态、补丁版本、杀毒软件等进行动态评估并实施访问控制策略？该机制是否依赖专用探头或可基于云端策略协同实现？实际部署中如何与现有内网NAC系统共存或替代？

Answer 1

深信服SASE是否支持网络准入控制？

1. 基本概念解析：什么是网络准入控制（NAC）与零信任架构中的终端合规性检查

网络准入控制（Network Access Control, NAC）是一种网络安全机制，用于在设备接入网络前对其进行身份认证和安全状态评估。传统NAC系统通常基于802.1X协议或专用探头，对接入终端的OS版本、补丁更新、防病毒软件状态等进行检测，并根据策略决定是否允许其访问网络资源。

而在零信任架构（Zero Trust Architecture, ZTA）中，“永不信任，始终验证”是核心原则。这意味着无论设备位于内网还是外网，都必须经过严格的身份认证与设备合规性检查后才能获得最小权限的资源访问。

深信服SASE方案融合了ZTNA（零信任网络访问）、EDR（终端检测与响应）、aTrust（零信任接入代理）等组件，构建了一个以身份和终端状态为核心的动态访问控制体系。

2. 深信服SASE的核心组件及其在准入控制中的角色

• aTrust：作为ZTNA客户端/代理，负责终端身份认证、设备指纹识别及安全状态上报。
• EDR：提供终端运行时的安全监测能力，包括进程行为分析、漏洞暴露面扫描、杀毒软件状态监控等。
• 云安全中心（CSC）：集中管理策略下发、风险评分计算与访问决策执行。
• SASE网关：部署于云端或边缘节点，依据aTrust与EDR反馈的终端状态实施细粒度访问控制。

功能维度	传统NAC	深信服SASE
接入位置	局域网边界	任意网络（内外网统一）
认证方式	802.1X、MAC绑定	多因子认证 + 设备指纹
合规检查项	基础系统信息	补丁版本、杀软状态、EDR在线、注册表配置等
策略执行点	交换机/无线控制器	SASE云网关
部署模式	本地硬件探头	轻量客户端 + 云端协同

3. 技术实现路径：如何通过aTrust与EDR实现动态准入控制

深信服SASE通过以下流程实现类NAC的终端准入能力：

1. 终端安装aTrust客户端并注册至SASE平台；
2. aTrust收集设备基本信息（如操作系统、MAC地址、硬盘序列号）生成唯一设备指纹；
3. EDR模块实时扫描终端安全状态，包括Windows Update更新情况、第三方杀毒软件运行状态、是否存在高危漏洞；
4. 上述数据加密上传至云安全中心（CSC），由策略引擎进行合规性评分；
5. 用户发起资源访问请求时，aTrust将设备状态与身份凭证一并提交至SASE网关；
6. 网关调用策略服务，判断该终端是否满足预设的“健康策略”（如“必须安装最新补丁”）；
7. 若不合规，则拒绝访问或引导至修复门户；
8. 若合规，则建立加密隧道，按最小权限原则授予应用级访问权限。

// 示例：合规策略规则定义（伪代码）
policy_rule {
    name: "Require_Patch_Level"
    condition: {
        os_type == "Windows"
        last_patch_date < today - 30days
    }
    action: deny_access
    remediation_url: "https://patch-center.corp.local"
}
    

4. 架构设计：是否依赖专用探头？能否基于云端协同实现？

深信服SASE的一大优势在于其去硬件化、云原生的设计理念。与传统NAC依赖部署在内网的专用探头不同，SASE的准入控制机制主要依托于：

• 终端侧的aTrust+EDR轻量代理（约50MB内存占用）；
• 云端策略中心统一管理合规基线与访问规则；
• 全球分布的SASE POP节点执行访问控制与流量代理。

这种架构使得企业无需在每个分支机构部署物理探头，即可实现跨地域、跨网络环境的一致性准入策略。同时，所有终端状态数据通过HTTPS回传至云端，支持离线缓存与断点续传，保障弱网环境下的策略有效性。

5. 部署模式探讨：与现有NAC系统的共存与替代策略

在实际落地过程中，企业往往已部署Cisco ISE、H3C IMC等传统NAC系统。深信服SASE可通过以下三种模式与其协同工作：

graph TD
            A[终端设备] --> B{接入方式}
            B -->|有线/无线局域网| C[NAC系统鉴权]
            B -->|远程办公/移动接入| D[SASE ZTNA 接入]
            C --> E[放行至内网]
            D --> F[SASE网关策略校验]
            F --> G[合规则放行, 不合规引导修复]
            E & G --> H[访问业务系统]

具体部署建议如下：

阶段	策略	说明
初期共存	NAC负责内网准入，SASE负责远程访问	避免冲击现有网络架构，逐步迁移用户
中期整合	统一设备台账，共享终端健康数据	通过API对接NAC与SASE平台，实现状态同步
长期替代	关闭传统NAC，全面启用SASE ZTNA	适用于完成数字化转型、全面上云的企业

6. 扩展思考：从网络层准入到应用层零信任的演进趋势

随着企业IT架构向混合云、多云发展，传统基于IP和端口的NAC机制逐渐暴露出局限性。深信服SASE所代表的新一代准入控制范式，不再关注“能否接入网络”，而是聚焦“能否访问特定应用”。

例如，即使某终端因未打补丁被判定为不合规，也可被允许访问补丁下载服务器或HR自助平台，但禁止访问财务系统或代码仓库——这正是零信任“最小权限”原则的体现。

此外，结合UEBA（用户与实体行为分析）技术，SASE平台还能对异常登录行为（如非工作时间多地登录）进行动态风险评分，进一步增强准入控制的智能化水平。