从 VPN 到零信任：一条分三阶段走的迁移路径，而不是一次产品采购

很多团队的“零信任落地”是买一个零信任网关，把 VPN 换掉，然后宣布完成。但真正的零信任是一条迁移路径：从网络边界信任转向身份与设备信任，每一步都要能回答“这次访问是谁发起的、从什么设备、访问什么、为什么”。

第一阶段，身份代理替换 VPN，目标只有一个：所有内网访问先过身份。部署身份代理，接入统一身份源，按应用分批迁移——先迁内部管理后台，再迁核心业务，保留一条 VPN 应急通道并定期演练。这一阶段的收益立竿见影：所有访问有了统一身份和审计，账号泄露的处置从“改防火墙”变成“禁用一个身份”。

第二阶段，设备信任与最小权限。身份过了还不够，被盗的合法账号是零信任最大的漏洞。设备侧装管理 agent，把设备健康状态作为访问条件；权限侧按“角色 × 应用 × 动作”建模，默认拒绝、按需开通。这一阶段的度量指标不是“上线了多少功能”，而是“人均可访问应用数下降、异常访问告警数上升、特权账号数量下降”。

第三阶段，持续验证与自动化。零信任的终态是每次访问都重新验证：会话时长限制、敏感操作二次认证、基于风险的动态策略。自动化程度决定这套体系的人力成本——策略引擎按风险信号自动调整，而不是安全团队人肉盯告警。

三个落地教训值得提前记住。试点应用选错会拖垮项目，第一个迁的应该是“用户多但改动弹性大”的应用，不要拿生产数据库当试点。体验塌方是项目死因，登录次数和验证频次要控制，单点登录加设备信任续期，让合法用户几乎感觉不到零信任的存在。管理层的持续背书不可少，零信任会改变特权团队的工作习惯，阻力出现时需要有人站台。

零信任不是一个产品，是一条“身份 → 设备 → 权限 → 持续验证”的路径。从替换 VPN 开始，每阶段有明确收益和可度量指标，比一步到位买全家桶的落地成功率高得多。