重新定义 络和安全架构，且看Gartner相中的SASE

Gartner在2019年发布的《 络安全的未来在云端》中提出一项新的技术概念Secure Access Service Edge(SASE)，其定义是一个融合了软件定义广域 和 络安全功能、以支持数字化企业需求的新兴技术。

Gartner表示SASE将取代现有的 络和安全模型。这一全新 络安全模型的提出，迅速成为国内外研究热点。

SASE为什么可以重新定义 络和安全架构

SASE不是单独的独立系统，而是包含一套技术，从SD-WAN和云访问安全代理（CASB）到安全的web 关(SWG)、零信任 络访问（ZTNA）、防火墙即服务（FWaaS）和远程浏览器隔离（RBI）。SASE架构确定为保护云和数据中心基础设施的关键 络安全解决方案，可确保通常以云服务形式提供的应用程序、服务、用户和机器对云和 络资源的安全访问。

按照Gartner对SASE的定义：SASE是一种基于实体的身份、实时上下文、企业安全/合规策略，以及在整个会话中持续评估风险/信任的服务。实体的身份可与人员、人员组（分支机构）、设备、应用、服务、物联 系统或边缘计算场地相关联。

SASE的核心是身份，即身份是访问决策的中心，而不再是企业数据中心。SASE框架可识别设备和用户，并根据用户、角色、设备、行为、位置和其他特征来应用基于策略的安全性，从而确保对应用程序或数据的安全可靠访问，从而使企业能够在全球范围内实施安全访问。

SASE将SD-WAN与零信任访问等一系列安全能力集成，访问决策基于用户身份并在边缘强制执行，而策略则在云中集中定义和管理，可实现安全架构的核心从数据中心向身份的根本性转变。SASE克服了分散集成和地理位置约束解决方案的成本、复杂性和刚性，提供了从分布式云服务交付聚合的企业 络和安全服务。

与传统的WAN不同，SASE取消了将分支机构连接到中心机构的概念，而是转变为将设备连接到基于云的集中式服务的模型。SASE不会强制将流量回传到数据中心的检查引擎，而是将检查引擎带到附近的存在点(PoP)。客户端将流量发送到PoP，以进行检查并转发到Internet或通过SASE全球骨干 转发到其他SASE客户端。SASE将先前隔离的 络和安全服务融合在一起，将本地用户、移动用户以及物联 设备和云资源，整合为统一的服务。

在传统WAN和SD-WAN的基础上，SASE将安全功能集成到 络上,让其成为一种 络服务。由于安全和 络管理是通过云完成的,因此管理员只需要修改一次就可以将其一次性推送到所有地方，将安全性和 络功能集成到 络上不仅升级了 络,还可以实现对WAN的改造。