防火墙挡门外、零信任管门内：一张分工表讲清

一家两百人的制造企业，三年前就部署了企业级边界防火墙，华为 USG 系列放在互联网出口，IPS、反病毒、攻击防护都开了，每年续特征库，日志也留得好好的。去年底做了一次安全检查，结果让老板很意外：防火墙本身没毛病，问题出在墙上开的口子上。为了各地销售远程用 ERP，开了端口映射；为了外包财务顾问取报表，又开一条；为了老板出差能连内网文件服务器，再开一条。三年攒下来，防火墙上挂着十几个对公网开放的入口，最老的一条已经没人记得是给谁开的。扫描器每天都在敲这些门，其中一条早就成了跳板。

这家公司的情况很典型：边界防火墙买对了、也配好了，但远程访问这件事用「在墙上开口子」的方式解决，越开口子越多，墙的意义慢慢被稀释。另一类公司反过来，听说零信任之后想在零信任里把所有控制都做了，连南北向的 IPS、抗扫描都要靠它，结果两套系统各配一半，出了事没人说得清哪边在管。这篇文章就把两套东西的边界画清楚：已经部署企业级防火墙的中型公司，防火墙管什么、零信任管什么、在哪里交接。至于「还没上防火墙的公司要不要两样都上」，之前在上了防火墙还要不要零信任里写过，不重复。

先看两类典型失败：重叠与盲区

防火墙与零信任配合不上，几乎都掉在这两个坑里。

第一类是重叠配置。同一个访问需求，防火墙上放了一条策略，零信任里又配了一遍授权。表面看是双保险，实际上规则越积越多，谁也不敢删。半年之后没人知道哪条在生效，策略收敛变成一句空话，审计时两边各拿出一套对不上的清单。

第二类是安全盲区。防火墙守住南北向边界，但两件事它天然顾不过来：一是「人」这个维度。防火墙的策略挂的是网段和端口，分不清从分公司网段发来的请求是张三的电脑还是张三工位上被插进来的一台陌生电脑。二是内网横向移动。一旦某个终端失陷，防火墙的边界规则挡不住这台机器在内网里扫服务器、试密码。

一句话定分工：防火墙按网段和端口管大颗粒的边界，零信任按人和终端管细颗粒的访问。下面用四个场景把这条线落到操作层面。

场景一：南北向边界，防火墙的地盘

从互联网进来的流量，归防火墙管。IPS 抗扫描、抗暴力破解，DDoS 类攻击的入口清洗，对固定合作方网段的大颗粒放行，出口访问的策略控制，这些是边界防火墙的本职，零信任不要去抢。

具体到 USG 这类设备，巡检时重点看三样：攻击防护日志里的高频命中源有没有该进黑名单的；会话数和 CPU 水位是否还有余量；放行策略每条是否还能说出用途，说不出来的先停用再追溯。这里的纪律是颗粒度：防火墙的策略以网段、端口为单位，够用就好，不要细到具体某个人。一旦开始按人开例外，就是在墙上打补丁，迟早变成开头那家公司的样子。

场景二：远程访问与东西向，零信任的地盘

员工在家、出差、分公司访问内网系统，供应商远程运维，这类需求交给零信任。做法是彻底关掉防火墙上的端口映射，让核心业务系统对公网隐身。员工终端装客户端，登录后按身份看到自己该用的应用：销售只看到 ERP 和报销系统，财务多一个报表系统，谁也看不到机房管理入口。授权可以细到具体应用和端口，从人、终端、应用三个维度同时校验。

sTrust 是羽信安 CPE 内置的零信任模块，在多分支组网的环境里可以直接跟着 CPE 走：分公司员工访问总部 ERP 时鉴权发生在人和应用之间，而不是先信任整个分公司网段。这就补上了防火墙管不到的那半边：东西向的访问按身份收敛，内网不再是一个进了就四通八达的大平面。

两边的交接点就一条：零信任的网关本身放在防火墙后面，防火墙只对这个网关的地址放行一条策略。口子从十几个收到一个，这一个口子里面还有按人的鉴权。

场景三：离职与外协到期，即时吊销

防火墙时代处理离职，常见的土办法是改防火墙密码、换个证书，或者干脆等他改不了的那天自然失效。真正出过事的公司都知道，从提离职到权限真正关闭之间的时间差，就是风险窗口。

零信任把这件事变成一个按钮：账号停用，所有应用的访问同时断掉，他终端上的客户端立刻失效，已经建立的会话也会被踢下线。外协工程师的项目权限可以设有效期，到期自动收回，不用谁记着去删。防火墙在这件事里的配合动作只有一个：别再为任何人保留「长期有效的备用口子」。有零信任兜底之后，防火墙上那些为个别人开的特殊放行，可以一次性清理掉。

场景四：运维跳板与虚拟化宿主机管理面

最该收口的地方是运维入口。虚拟化宿主机的管理面、机房设备的带外管理、核心交换机的配置界面，这些一旦暴露，拿到的不是一台机器而是整个机房。

双层收口的做法：防火墙层面，管理类网段不对任何办公网段放行，这是大颗粒的隔离；零信任层面，运维人员访问宿主机管理面必须走零信任客户端，带终端校验，访问行为留审计日志。两层各司其职：防火墙保证「办公网到不了管理网」这条大边界，零信任保证「能到管理网的只有那几个人的合规终端」。哪怕某个运维账号泄露，攻击者也在第一层就被挡住。

分工对照表

看表的诀窍是先看第三列和第二列有没有撞车：同一个需求两边都出现，多半是重叠配置；两边都没出现的需求，比如「内网终端之间的横向访问控制」，就是盲区，需要明确划给零信任。这张表也适合拿去跟服务商对方案：谁能把每一行讲清楚，谁就真的懂分工。

常见问题

问：防火墙上已经配了几十条放行策略，上了零信任之后要全部删掉吗？
答：不是全删，是分批收敛。先删对公网的端口映射，这类最危险；再删为具体个人开的例外，交给零信任按人授权；固定网段的大颗粒放行保留在防火墙上。每删一条观察一周，有业务受影响随时恢复，收敛过程本身也要留变更记录。

问：两套系统会不会出「都以为对方在管」的空档？
答：会，而且就出在边界模糊的需求上。防法是把每个访问需求在文档里指定唯一负责方：写清这条需求由防火墙策略满足还是零信任授权满足。半年做一次对照盘点，防火墙策略清单和零信任授权清单逐条过，谁也说不出用途的条目一律停用。这份对照文档在出安全事件时就是排查地图。

问：出了安全事件，先查防火墙日志还是先查零信任日志？
答：按攻击路径查，不是按系统顺序查。从外部进来的先看防火墙的攻击日志和会话记录；从账号进去的先看零信任的登录和访问记录。两套日志时间要核对一致，这在部署时就该做好。如果两边时间戳对不上，排查会多花一倍时间。

问：中型公司没有专职安全人员，两套系统日常维护压力大吗？
答：日常维护集中在三件事：账号增减离职、策略变更留痕、异常日志巡检，工作量可控，具体怎么评估人手和分工，在上了零信任需要专人维护吗里有细算。防火墙侧的特征库更新和日志巡检一般随运维外包走，不需要专门为它养一个人。

小结：防火墙和零信任不是替代关系，是分工关系。防火墙按网段和端口守住南北向边界，零信任按人和终端管住远程访问与东西向授权，交接点只有一个：防火墙对零信任网关放行一条策略。已经上了防火墙的公司，最该做的不是再加一层墙，而是把墙上为个人需求开的口子逐条收掉，让每个入口都有唯一的主人。