傳統 VPN、閘道式 ZTNA 與 SDP 架構比較

本文說明三種常見遠端存取架構的技術差異。Merak 產品頁上的比較表是本文的摘要版本；此處補充判斷依據與各架構的適用限制。

一、架構模型

傳統 VPN

VPN 在網路層建立通道。使用者通過驗證後取得一個內網位址，此後的存取控制由防火牆規則與網段劃分負責，而非由驗證機制本身負責。

VPN 閘道必須有一個可路由的公網位址並開放連接埠，才能接受連線請求。這個位址對所有人可見，包含尚未通過驗證的請求者。

閘道式 ZTNA

ZTNA 將控制點從網路層上移到應用層。使用者不再取得內網位址，而是由閘道代理特定應用程式的流量，並在每次請求時檢查身分與政策。

存取粒度因此細於 VPN。但閘道本身仍需對外可達，架構上仍存在一個集中的公開端點；且所有資料流量都經過該閘道轉送。

SDP（Software-Defined Perimeter）

SDP 將控制平面與資料平面分離。控制平面負責身分驗證與政策授權；資料平面在授權完成後，於用戶端與服務端之間直接建立加密連線。

受保護的服務不開放任何連入的連接埠，僅由本地節點對外建立連出連線。未通過控制平面授權的請求，在網路上得不到任何回應——服務不是「拒絕連線」，而是「不存在」。這套架構的三個角色、單封包授權機制與各項限制，另見軟體定義邊界（SDP）是什麼、怎麼運作。

二、逐項比較

三、判斷依據

攻擊面該怎麼衡量

比較架構時，「有無開放連接埠」比「防護規則有多少條」更能反映實際風險。自動化掃描工具的第一步是找出可回應的位址與連接埠；若這一步就沒有結果，後續的漏洞利用鏈無從開始。

VPN 與閘道式 ZTNA 都需要一個可被探測的端點，因此都可能被指紋辨識、被納入掃描目標清單。SDP 的差異在於未授權請求得不到任何回應，探測階段即告失敗。

資料路徑的合規意義

當資料流量經過廠商營運的閘道時，該廠商在技術上具備接觸流量的能力，這在跨境資料傳輸與特定產業的合規審查中會成為需要說明的項目。

控制平面與資料平面分離的架構下，廠商僅參與驗證與授權決策，不在資料路徑上。這項差異在合規文件中通常比效能數字更關鍵。

存取粒度與橫向移動

VPN 驗證通過後，攻擊者取得的是一個內網立足點；後續移動受限於網段設計，而非受限於身分。這是「一個帳號被盜等於內網門戶大開」的結構性原因。

服務層級微分段將政策綁定在身分與服務的組合上。單一身分被冒用時，可觸及的範圍等於該身分原本被授權的範圍，不會因為進入網路而擴大。

四、架構的限制

SDP 並非所有情境的最佳解，以下限制應納入評估：

• 需要在端點或服務側部署節點。完全無法安裝任何元件、亦無法以獨立 VM 覆蓋的環境不適用。
• 控制平面的可用性是關鍵路徑。授權決策依賴控制平面，因此其可用性設計需納入架構評估。
• 不取代應用層的權限控管。SDP 決定「能不能連到這個服務」，服務內部的角色與資料權限仍由應用程式本身負責。
• 既有的網路監控盲點。點對點加密直連意味著中間節點看不到流量內容，既有依賴閘道側檢查的監控機制需要重新規劃。

五、常見的評估誤區

把 ZTNA 與 SDP 當成同義詞。 ZTNA 描述的是存取控制的原則，SDP 描述的是實作架構。多數市面上的 ZTNA 產品採用閘道式實作，與 SDP 在資料路徑上的差異是實質的。

以功能清單比較而非以架構比較。 兩種架構都可以列出「支援 MFA」「支援 RBAC」，但控制點的位置決定了失效時的影響範圍，這在功能清單上看不出來。

忽略部署後的維運成本。 新增分支據點、調整權限、汰換裝置的實際操作步驟數，長期而言比初期導入成本影響更大。

如需本文的完整技術規格版本，或針對特定環境的評估說明，歡迎透過聯絡我們提出。