跳转至主要内容

SmartLink + ZTNA:双重安全防线

背景

Claire是BioLab的首席信息安全官(RSSI),该实验室有90名员工,分布在三个地点并有远程办公。公司在自有服务器上托管了关键的内部应用——LIMS(实验室管理系统)、ERP、法规文档库。Claire希望在不暴露内部网络到互联网、也不让团队使用传统VPN的情况下,保护这些应用的访问安全。

使用传统VPN时:

  • 一旦连接VPN,用户可以访问整个内部网络(“城堡”模式)
  • 如果某台设备被攻破,攻击者就能访问整个网络
  • VPN维护繁琐、速度慢,影响用户体验
  • 无法细粒度控制:无法只授权访问单一应用
  • VPN凭证是额外的攻击面,需要管理

仅用ZTNA(Tailscale/Headscale)时:

  • 网络被分段,但应用的认证依然传统(用户名/密码)
  • 内部应用的密码仍是薄弱环节
  • 无法按应用层面追踪谁访问了什么
  • 无法集中管理应用访问权限

将SmartLink与零信任网络(Tailscale或其开源替代Headscale)结合,可获得两层互补的安全防护

第一层 — SmartLink:控制可以访问以及在什么条件下(身份、设备、位置)

第二层 — ZTNA:控制用户可以连接到网络中的哪些主机(微分段)

步骤1 — 部署零信任网络

Claire部署了Headscale(自托管以保证数据主权)或启用Tailscale(企业版)。每台托管内部应用的服务器都加入零信任网络。

步骤2 — 将SmartLink作为身份提供者接入

Claire将SmartLink配置为Tailscale/Headscale的OpenID Connect(OIDC)身份提供者。现在,员工要加入零信任网络,必须通过SmartLink和其VaultysID进行认证。

步骤3 — 按组定义ACL

Claire基于SmartLink分组定义网络访问规则:

  • **“实验室”**组仅能访问LIMS和文档库
  • **“财务”**组仅能访问ERP
  • **“管理层”**组可访问所有应用
  • 无人能访问未被明确授权的服务器

步骤4 — 增加SmartLink策略

Claire通过SmartLink的设备访问策略(DAP)加强安全:

  • 访问LIMS需生物识别VaultysID,且设备必须在公司网络或ZTNA
  • 访问ERP需浏览器为最新版本操作系统受支持

步骤5 — 日常用户体验

Paul是一名远程工作的研究员,他打开浏览器:

  1. 使用VaultysID(扫码+指纹)在SmartLink上认证
  2. Tailscale/Headscale客户端通过SmartLink SSO自动认证
  3. Paul在SmartLink仪表盘点击LIMS
  4. SmartLink通过加密隧道自动连接应用

全程无感。Paul无需输入密码,也无需手动启动VPN。

零信任架构详解

能防护哪些威胁?

威胁类型传统VPN仅用ZTNASmartLink + ZTNA
凭证被盗❌ 全网可访问⚠️ 网络有限,但应用仍暴露✅ 加密身份(VaultysID)+网络分段
设备被攻破❌ 全网暴露⚠️ 网络分段但仍有风险✅ 设备策略可阻止不合规设备
横向移动❌ 可横向遍历全网✅ 微分段✅ 微分段+应用层控制
应用密码被盗❌ 可直接访问应用❌ 可直接访问应用✅ 无密码暴露(保险箱)
离职后访问⚠️ 撤销慢⚠️ 仅撤销网络访问✅ 网络+应用一键撤销
合规审计❌ 日志分散⚠️ 仅有网络日志✅ 网络+应用全程可追溯

零信任原则落地

“永不信任,始终验证”

  1. 验证身份 → VaultysID(无密码加密认证)
  2. 验证设备 → SmartLink设备访问策略(操作系统、浏览器、IP)
  3. 最小权限访问 → Tailscale/Headscale ACL(仅授权必要服务器)
  4. 应用访问控制 → SmartLink SSO(仅授权应用)
  5. 端到端加密 → Tailscale/Headscale WireGuard隧道
  6. 持续监控 → SmartLink日志 + ZTNA日志联动

选Tailscale还是Headscale?

评估项TailscaleHeadscale
托管方式云端(Tailscale公司)自托管
数据主权数据存储在Tailscale100%完全自主控制
部署难度非常简单需有运维能力
费用收费(SSO需企业版)免费开源
支持商业支持社区支持
SmartLink集成SSO OIDC + WebFingerSSO OIDC

两种方案均可通过OpenID Connect与SmartLink无缝集成。

有哪些变化

未使用本方案使用SmartLink + ZTNA
VPN=全网可访问用户&应用级微分段
VPN凭证+应用密码VaultysID唯一认证
内部应用暴露在公网应用对互联网完全不可见
撤销慢且不彻底网络+应用一键即时撤销
日志分散且不完整端到端全链路可追溯
边界安全(城堡模式)零信任安全(持续验证)

涉及功能