Merak 零信任網路是怎麼運作的

「零信任」這個詞被行銷講壞了。它聽起來像一種態度，但實際上它是一組很具體的工程決策：連線由誰發起、身分用什麼表示、金鑰放在哪裡、授權在哪一層做、失敗時會發生什麼事。

這篇文章把 Merak 這類零信任網路存取（ZTNA）網路拆成八個機制，每個機制配一張圖。你只要知道 TCP 大概是怎麼建立連線的、憑證大概是什麼東西，就能讀完。看不懂的名詞在文末有對照表，每個都附了原始規格或說明的連結。

先講清楚要解決什麼問題

傳統網路安全是邊界模型：把公司資產放在一道牆裡面，牆上開一個門（VPN 閘道或防火牆），驗證發生在門口。通過驗證的人拿到一個內網 IP，從此他在牆內的可達範圍由網段和防火牆規則決定，而不是由「他是誰」決定。

這個模型的問題不在於門不夠牢，而在於門後面沒有第二道判斷。攻擊者只要偷到一組能過門的憑據，之後在內網移動就幾乎不受阻礙——這在攻擊技術分類裡叫做橫向移動（lateral movement），是絕大多數資料外洩事件中最關鍵的一段。

零信任的核心主張只有一句話：網路上的位置不構成信任的理由。要落實這句話，得先把「連得到」和「被授權」這兩件事在架構上徹底分開。

一、把「決定誰能連」和「實際搬運資料」拆開

第一個結構性決策是平面分離——這個詞借自網路設備的控制平面與轉發平面概念。

• 控制平面負責身分登錄、政策定義、憑證簽發，以及每一條連線的授權決策。它做決定，但完全不經手應用資料。
• 資料平面是一組彼此相連的邊緣節點，組成網狀網路，實際轉送流量。它搬東西，但不做授權決定（它只執行控制平面同步下來的結果）。

這個切法有兩個直接後果。第一，廠商不在資料路徑上——控制平面看得到「誰在什麼時候要求連什麼」，但看不到內容。這在跨境資料傳輸與特定產業的合規審查裡，通常比效能數字更關鍵。第二，資料平面沒有一個集中的閘道，也就沒有一個一掛掉全體斷線的單點故障。

圖上那三類連線全部走雙向 TLS（mTLS）。一般上網用的 TLS 只有伺服器出示憑證，用戶端是匿名的；雙向 TLS 則要求兩端都出示憑證，所以連線本身就攜帶了雙方的身分。沒有任何一段是明文，也沒有任何一段是匿名的。

二、身分不是一組帳號密碼，是一張憑證

在這種網路裡，每一個主體——人、裝置、服務、工作負載——的身分就是一張 X.509 憑證。

如果你沒接觸過 PKI，可以先建立這個心智模型：憑證是一份「公鑰 + 這個公鑰屬於誰」的聲明，由一個受信任的簽發者（CA）用它自己的私鑰簽名。驗證方檢查簽名，就能確認這份聲明沒被竄改。但憑證本身是公開資訊，光有憑證不能證明你是誰——要證明身分，你得證明你握有對應的私鑰。

所以整個註冊流程的設計目標只有一個：讓私鑰從產生到使用，全程不離開端點。

流程的關鍵在第 ④ 步。端點在本機產生一組非對稱金鑰對，私鑰寫進本機保存區，然後把公鑰包成一份憑證簽署請求（CSR，RFC 2986）送出去。控制平面驗證後簽發憑證鏈回來。

這代表：就算有人完整錄下整段註冊流量，他也組不出這個身分——他手上只有公鑰。這和「把密碼或 API 金鑰送過網路」是本質上不同的安全模型；後者只要傳輸或儲存任一環出問題，憑據就複製出去了。

第 ① 步的那張一次性註冊 token 通常是一個帶有效期的 JWT（RFC 7519），只能用一次，作用僅僅是「告訴端點該連到哪裡、並讓控制平面認得這次註冊」。它換到憑證之後就作廢了。

值得注意的細節： 就算你的主要登入方式是 OpenID Connect 或帳號密碼，用戶端在連上邊緣節點之前，仍然必須先換到一張臨時憑證——因為資料平面全程要求 mTLS，沒有憑證根本建不起連線。人的登入方式和連線的身分載體，是兩件事。

三、為什麼要加密兩次

看到「全程 mTLS」又看到「端對端加密」，第一個反應通常是：這不是重複了嗎？

不是。它們保護的是不同的東西，而且是巢狀關係。

• 傳輸層（mTLS）是逐段的。用戶端到節點 A 是一段、節點 A 到節點 B 是另一段，各自有各自的金鑰。它負責的是「這一跳的對象是誰、這一跳的內容別人聽不到」。
• 應用資料層（AEAD）是端對端的。酬載在來源端就用認證式加密（AEAD，RFC 5116）封好，金鑰只有通訊的兩端持有，中間節點沒有。實務上會用像 ChaCha20-Poly1305（RFC 8439）這類同時提供機密性與完整性的演算法——「認證式」的意思是密文被改一個位元，解密方會直接判定失敗，而不是解出一堆垃圾。

這一層的意義很直接：中繼節點只轉送它解不開的密文。資料平面對酬載的機密性而言是「不受信任」的元件，就算某個節點整台被拿下，攻擊者拿到的還是密文。

端對端的邊界落在哪裡取決於接入方式：如果加密邊界內嵌在應用程式本身，邊界就在兩個應用之間；如果因為系統老舊不能改程式，改用本機代理承接，邊界就在兩個代理之間。後者仍然涵蓋整段網路路徑，只是最後那一小段（代理到應用的本機迴路）在保護範圍外——這是導入時要明確標示的取捨。

四、每一條連線都重新問一次「可以嗎」

拿到有效憑證，只完成了認證（你是誰），還沒完成授權（你可以做什麼）。這兩者被混為一談，是很多存取控制設計出錯的起點。

每當有人要對某個服務開一條新連線，判定會依序走完四道：

重點在於授權的粒度與時機。粒度是「單一服務」而不是「一個網段」，時機是「每一條連線」而不是「每一次登入」。這兩點合起來，就是最小權限原則在網路層的實作：某個端點被入侵時，攻擊者能碰到的僅限於那個身分原本就被授權的那幾個服務，圖 01 右邊那些連不到的服務，對他來說一樣連不到。

設計陷阱： 授予同一服務的多條政策之間通常是 OR 聯集——只要有一條通過就放行。如果你替同一組 identity 與 service 同時掛了一條「帶姿態檢查」和一條「不帶姿態檢查」的政策，後者會靜默地讓姿態檢查失效，而且系統不會報錯，因為兩條政策各自都合法。寫政策時務必把聯集語意算進去。

五、通過之後還要一直通過

第 ④ 道的**姿態檢查（posture check）**值得單獨講，因為它是少數會在連線「已經建立之後」還持續作用的機制。

一般的存取控制是「進門時檢查」，所以一台在上班時合規、下午被裝了東西的筆電，那條連線可以一路撐到使用者自己關掉。持續評估的差別在於：偏移發生的當下，既有連線就會被關閉，不用等下次重連。

常見的檢查類型大致是這幾種：

MFA 是其中唯一帶時間語意的：可以設定「多久以前驗證過才算數」，並在裝置鎖定或休眠喚醒後要求重新提交。

值得留意的是回報機制：姿態回報是變更驅動的——端點定期比對自身狀態，只在有變化時才送出回報，而不是每隔幾秒把全部狀態上傳一次。這對規模化很重要，也順帶解釋了為什麼偏移偵測會有秒級而非毫秒級的延遲。

六、服務為什麼「掃不到」：把連線方向反過來

這是整套架構裡最違反直覺、也最有效的一招。

要理解它，先回到 TCP 建立連線的基本事實。一個服務要能被連上，就必須開一個入站監聽埠——等於對整個網路廣播「我在這裡，這個埠可以連我」。而任何開著的埠在 port scan 下都會現形：掃描者送一個 SYN，只要收到 SYN-ACK，就確認了「這裡有東西」。接下來就是版本指紋辨識、憑證探測、已知漏洞比對、登入頁爆破——整條攻擊鏈的第一步，就是那個回應。

監聽埠本身就是攻擊面。 所以零信任網路的做法是：不要有監聽埠。

承載服務的節點不開任何對外監聽埠，而是主動向資料平面撥出一條 TCP 連線，並在這條已經建立的連線上，把自己註冊為該服務的終端者。之後所有要送往這個服務的授權流量，都由邊緣節點沿著這條既有通道「反向」送回去。服務端從頭到尾只曾撥出，從未接受過任何來自網際網路的入站連線。

對掃描者來說，結果是這樣的：

注意最後兩列的實務價值。因為只需要放行出站（通常是 443，多數環境本來就開著），服務端可以把入站防火牆設成全部拒絕；也因為連線是從內往外建立的，它天然穿透 NAT 與 CGNAT——這就是為什麼服務可以部署在完全沒有公網 IP 的私有網段裡，卻仍然能被授權的人存取：它從來不需要「被連入」。

值得說清楚的是這招防的是什麼、不防的是什麼。它移除的是被任意掃描與探測的可能性，也就是攻擊鏈最前面那一段；它不會讓應用程式本身的漏洞消失。已被授權的身分打進來時，你的 SQL injection 還是 SQL injection。

七、流量怎麼走：成本導向路由與自動改道

合法流量進入資料平面之後，還有一個問題：走哪條路？

資料平面持續量測各段鏈路的延遲，路徑選擇是成本導向的：量測到的延遲、加上維運者為各段鏈路設定的成本、加上終端者本身的成本與優先序，取總和最低的路徑。概念上就是一張加權圖上的最短路徑問題，只是權重會隨著量測結果變動。

某段鏈路故障或壅塞時，路由自動改走替代路徑，對上層應用近乎無感。這和單一閘道的架構有結構性的差別——閘道式架構下，閘道掛掉就是全體斷線，而網狀資料平面沒有那個「全體」。

八、這套架構的限制

任何說「這個架構沒有取捨」的文件都不值得讀。以下幾點應該在評估階段就攤開來：

• 端點或服務側需要部署元件。 完全無法安裝任何東西、也無法用一台獨立主機在前面承接的環境，不適用。
• 控制平面的可用性是關鍵路徑。 授權決策依賴控制平面，所以它的高可用設計必須納入架構評估，不能當作附屬元件。
• 不取代應用層的權限控管。 這套機制決定「這個身分能不能連到這個服務」，服務內部的角色、資料列權限、稽核，仍然是應用程式自己的責任。
• 既有的網路監控會出現盲點。 端對端加密意味著中間節點看不到內容，原本依賴閘道側檢查流量的監控與 DLP 機制需要重新規劃——通常改成在端點側或應用側取得可見性。
• 政策的聯集語意容易誤用。 前面提過的 OR 聯集陷阱，在政策數量長起來之後是最常見的設定錯誤來源，值得建立審查機制。

名詞對照與延伸閱讀

這篇的圖示為說明用的簡化架構：成本導向路由的完整權重、姿態回報週期、控制平面的高可用拓撲等細節為了清楚起見已經略去，實際數值與行為以產品文件為準。如果你想針對特定環境討論導入方式，或需要更完整的技術規格，歡迎透過聯絡我們提出。