上了防火墙，还要不要零信任

“防火墙我们去年才换的，花了不少钱，现在又说要上零信任，这两个是不是一回事？”这是安全项目沟通里被问得最多的一句。

这个问题背后是真金白银的困惑：设备买重了是浪费，买少了是缺口。而市面上大部分材料要么只讲零信任多先进，要么只讲防火墙多必要，很少把两者的边界讲明白。

一句话版本：防火墙管的是门外的洪水，零信任管的是门内的钥匙。两个都要，但先搞清楚各自管什么，才知道自己的钱该先花在哪。

两个东西回答的是两个问题

防火墙回答的问题是：外面的人能不能进来。它在网络边界上站岗，看流量从哪来、去哪个端口、像不像攻击，像就拦下。它的世界观是内外有别：内网是可信的，边界是战场。

零信任回答的问题是：已经在里面的人，能走到哪。它不假设内网是安全的，每个访问都要验明正身：这个人、这台设备、此刻，有没有权限碰这个系统。它的世界观是不信任任何人，包括办公室里坐着的人。

这张表最值得看的是最后一行。防火墙拦得住的东西，多数公司有感知，因为设备会报警；零信任拦的东西，多数公司从没看见过，因为从来没人记过账。看不见不等于不存在。

有了防火墙为什么还会出事

过去几年被报道的企业安全事件，真正从正面攻破防火墙的是少数，多数路径长这样：某员工点了钓鱼链接，账号密码被盗；攻击者用这个账号正常登录，防火墙看到的是一次合法认证；之后在系统之间慢慢挪，找到财务系统，找到客户名单。全程没有触发任何边界告警，因为每一步都是”里面的人”在操作。

这个路径里防火墙没有失职，它管的事一件都没漏。漏的是另一个环节：没有人检查”这个账号今天的行为正不正常”。这个环节就是零信任的位置。

反过来也一样：只上零信任不上防火墙，等于家里给每个房间上了锁，但大门敞开。外部攻击的第一波冲击总要有人挡，边界防御没有被替代。

先后顺序怎么排

两家都要的公司是多数，预算总是一年一年花。排序有个简单的判断：看最大的洞在哪。

公司有出口、有对公网开放的业务（官网、邮件、远程访问端口），防火墙的优先级高，先保证边界是收住的。判断方法很土但有效：让第三方帮忙扫一下自己公司的公网 IP，看暴露了哪些端口。扫描结果比任何销售的话术都诚实。

公司人多、系统多、外部协作者多（供应商要远程调试、外包团队要驻场、员工要在各处办公），零信任的优先级高，因为”里面的人能走到哪”这个问题已经管不住了。判断方法：随机抽五个员工，问他们能打开几个跟自己岗位无关的系统。答案普遍是全部，这就是零信任要收的范围。

两个判断都做过之后，钱的去向就清楚了。还有一类公司，防火墙老旧、账号也乱，那就先做便宜的：账号体系的整理几乎不花钱，先做；防火墙更新放在次年预算。

两者怎么配合

实际部署里，两者不是各干各的，有三个具体的配合点。

远程访问这一块交给零信任。传统做法是在防火墙上开远程访问端口，员工从公网连进来，进来后能看到整个内网。零信任的做法是业务隐身：不对公网开端口，员工经身份验证后只到达被授权的那几个系统。防火墙把这一块的端口关掉，暴露面同步缩小。这也顺带解决了很多公司远程访问速度慢的老问题，因为路径变了。

零信任的判断可以喂给防火墙。零信任记录每个账号的行为，发现异常（陌生设备、异常时段、批量下载）时，除了自己拦截，还可以联动防火墙阻断该来源。单点发现、全网处置。

审计报表合成一份看。边界日志和访问日志分开看，两边的分析师都只见半个故事。合成一份，事件回溯的时间线才完整。

我们的部署实践里，这套配合由 sTrust 承担零信任侧的角色。sTrust 是羽信安 CPE 内置的零信任模块，部署形态上它通常和防火墙并排挂在出口，防火墙管边界，它管身份和授权，远程访问不再经过防火墙开端口。能力清单在零信任接入页面，对着自家的系统数一遍，能大概估出要管多少条访问关系。

常见问题

问：零信任会不会取代防火墙？
答：不会，两者对付的是不同方向的威胁。业内说的”零信任时代”指的是安全重心从边界转向身份，是重心转移，不是设备替代。预算表上它们仍然各占一行。

问：我们只有三十人，也要两个都上吗？
答：三十人的公司，防火墙大概率已经有（宽带路由器自带的最简形态也算），要补的是账号和授权的纪律，这部分用轻量的零信任做法就能覆盖，成本不随人头膨胀。先从”每人只能访问自己岗位的系统”这条开始。

问：怎么向老板解释这笔钱的必要性？
答：用他听得懂的单位：一次勒索事件的停业天数和恢复成本，对比一年的安全投入。再补一个动作：把公司现存的账号混乱列一张表给他看。风险讲一百句，不如一张自己公司的账单表。

问：上了零信任，员工的远程访问体验会变差吗？
答：设计得当时会变好。传统远程访问挤一条隧道，高峰期慢；零信任按应用直达，多数场景更快。体验变差通常出在策略粒度没收好，这个话题在策略粒度与摩擦里专门写过。

小结：防火墙管门外，零信任管门内，互不替代。有对公网业务先收边界，人和系统多先收权限，账号整理不花钱先做。远程访问这块交给零信任做业务隐身，防火墙同步关端口缩暴露面。给老板讲必要性，用自己公司的账号现状表，不用行业术语。