文章总结： 安全访问服务边缘(SASE)是一种将广域网技术与网络安全能力融合的云原生网络安全架构，通过软件定义广域网(SD-WAN)与安全服务边缘(SSE)技术结合，在网络边缘提供安全防护。SASE整合了安全Web网关、云访问安全代理和零信任网络访问等关键技术，可降低企业成本、简化管理、强化安全并优化用户体验，特别适用于混合办公、混合云部署和边缘计算场景，代表了网络安全的未来发展方向。 综合评分： 88 文章分类： 网络安全,云安全,应用安全,安全建设,解决方案

安全访问服务边缘（SASE）

原创

王水江

CISSP Learning

2025年12月22日 08:30 北京

安全访问服务边缘（SASE）的定义

安全访问服务边缘（SASE）是一种网络安全架构，它将广域网技术与网络安全能力融合为一套单一集成、云原生交付的网络安全服务。

SASE 与传统网络安全的核心区别在于：传统架构需要将所有流量回传至数据中心再执行安全策略，而 SASE 则将安全能力及其他服务部署在更靠近用户与终端接入点的网络边缘。

SASE 架构具备显著的应用价值，既能强化网络安全防护能力、简化网络性能管理流程，还能优化终端用户的整体使用体验。

随着越来越多企业推进数字化转型，加之云环境、边缘计算技术的普及以及远程办公 / 混合办公模式的落地，大量用户与 IT 资源的部署位置已突破传统网络边界。SASE 的核心优势在于，无论用户与资源身处何地，都能为二者建立直接、安全且低延迟的连接通道。

尽管 SASE 属于相对新兴的技术概念（Gartner于 2019 年首次提出该术语），但众多安全领域专家认为，它代表了网络安全的未来发展方向。

SASE 的工作原理

SASE 的技术本质，是软件定义广域网（SD-WAN） 与安全服务边缘（SSE） 两大核心技术的融合。若要理解 SASE 的运行逻辑，首先需掌握这两项底层技术的功能定位。

一、软件定义广域网（SD-WAN）

SD-WAN 是一种实现虚拟化的广域网，其虚拟化原理与服务器虚拟化技术相通。它将网络功能与底层硬件（如网络链路、交换机、路由器、网关等）解耦，形成可灵活分配、聚合的网络资源池与安全能力池，并通过软件层面实现对流量的智能管控。

传统广域网（WAN）的设计初衷，是通过专用、私有且成本高昂的专线链路，将企业分支机构的用户与总部数据中心的应用系统相连。分支机构部署的路由器负责流量管控与优先级调度，保障核心业务应用的运行性能；而数据包检测、数据加密等安全功能，则全部集中在总部数据中心完成。

SD-WAN 技术最初的研发目标，是帮助企业在成本更低、扩展性更强的互联网基础设施上，实现与传统广域网相当的网络能力。但随着企业上云进程加快，市场对 SD-WAN 的需求呈爆发式增长 —— 毕竟当时企业对互联网的安全性仍存顾虑，传统广域网的安全架构也因此面临严峻挑战：所有发往互联网的流量都需经总部数据中心中转，不仅造成高昂的带宽成本与性能瓶颈，还会导致网络性能下降，严重影响用户体验。

SD-WAN 从根本上打破了这一瓶颈：它将安全策略的执行节点前置到流量接入点，无需再将流量回传至核心数据中心进行安全处理。借助 SD-WAN，企业可在用户与所需资源（包括软件即服务（SaaS）应用、云资源、公共互联网服务等）之间，建立直接、安全且经过优化的连接。

二、安全服务边缘（SSE）

SSE 同样由高德纳（Gartner）提出，被称为 “SASE 的安全核心”。该架构整合了三项关键的云原生安全技术：

1. 安全 Web 网关（SWG）安全 Web 网关相当于互联网流量的双向 “安检员”。它通过流量过滤、域名系统（DNS）查询检测等技术手段，识别并拦截恶意软件、勒索软件等各类网络威胁，阻止恶意流量侵入企业网络资源。同时，它还能限制授权用户访问可疑网站：用户及终端设备不直接连接互联网，而是先接入安全 Web 网关，仅可通过该网关访问企业预先批准的资源（如本地数据中心、业务应用系统、云应用与服务等）。

2. 云访问安全代理（CASB）云访问安全代理部署于用户与云应用 / 云资源之间。无论用户通过何种终端、在何地接入网络，它都能强制落实企业的安全策略，包括数据加密、访问权限控制、恶意软件检测等。此外，云访问安全代理无需在终端设备安装客户端软件，非常适合用于保障 “自带设备办公（BYOD）” 等新型办公模式下的网络安全，同时也能对用户访问未知云资产的行为执行安全策略管控。

3. 零信任网络访问（ZTNA）零信任网络访问遵循 “永不信任、持续验证” 的核心原则，对所有用户与网络实体（无论位于网络内部还是外部）均保持严格的验证机制。经过验证的用户与实体，仅能获得完成任务所需的最小权限（即最小权限原则）。当用户的访问环境（如终端设备、地理位置、网络链路等）发生变化时，系统会强制要求重新验证；在整个连接会话期间，所有数据交互都需逐数据包进行身份认证，直至会话终止。

   需注意的是，零信任网络访问并非一款独立的安全产品，而是一种网络安全架构理念。它需要依托身份与访问管理（IAM）、多因素认证（MFA）、用户与实体行为分析（UEBA）以及各类威胁检测与响应解决方案等技术手段落地实施。

除上述核心技术外，不同厂商的 SASE 平台还可能集成其他威胁防护与安全能力，例如防火墙即服务（FWaaS）、数据防泄漏（DLP）、网络访问控制（NAC）、终端防护平台（EPP）等。

三、SASE 整体运行逻辑

SASE 解决方案通过 SD-WAN 技术，将 SSE 安全服务精准交付至用户、设备及其他终端的接入点或邻近节点（即网络边缘）。

其具体运行流程为：摒弃传统 “流量回传至核心数据中心进行安全检测与加密” 的模式，SASE 架构将流量引导至分布在全球的边缘节点（PoP） —— 这些节点由 SASE 服务商自有，或部署在第三方数据中心。边缘节点通过云原生 SSE 服务完成流量的安全检测与防护，随后为用户 / 终端设备建立与目标资源的连接，包括公有云、私有云、软件即服务（SaaS）应用、公共互联网等。

SASE 的核心优势

1. 降低成本，减少资本性支出SASE 本质上是一种安全即服务（SaaS）解决方案：企业只需采购 SASE 软件的使用权，即可依托服务商的硬件基础设施享受完整的云服务。相较于传统架构中 “分支机构路由器→总部数据中心硬件安全设备” 的流量路径，SASE 允许企业通过就近的互联网接入点，将流量直接导向云端进行安全处理，大幅降低硬件采购、部署与运维成本。

   此外，企业还可采用混合部署模式的 SASE 方案 —— 该方案整合了公有云与企业本地基础设施，将物理网络硬件、安全设备、数据中心与虚拟化的云原生组件无缝对接，兼顾安全性与灵活性。

2. 简化管理，提升运维效率SASE 架构提供了一套统一、标准化的解决方案，可对所有接入或尝试接入网络的对象进行安全防护 —— 覆盖范围不仅包括终端用户，还涵盖物联网（IoT）设备、应用程序编程接口（API）、容器化微服务、无服务器应用，以及按需创建的虚拟机（VM）。同时，它省去了在每个接入点部署路由器、防火墙等一系列独立安全设备的繁琐流程。企业的 IT 团队或安全团队只需制定一套集中统一的安全策略，即可通过单一管理平台实现对全网所有连接与资源的管控。

3. 强化安全，提升防护能力若部署得当，SASE 可从多个层面提升企业的网络安全水平：统一的管理模式减少了人工配置失误与策略冲突的风险；针对远程用户的流量防护，SASE 以零信任网络访问（ZTNA）替代了虚拟专用网络（VPN）的 “一刀切” 式授权模式，基于用户身份与访问环境实现对应用、目录、数据集及工作负载的精细化权限管控。

4. 优化体验，保障服务一致性借助 SASE，用户无论身处办公区、分支机构、家庭还是移动场景，无论访问的是云托管资源还是本地部署资源，都能通过统一的方式接入网络。SD-WAN 服务会自动将流量路由至最近的边缘节点（PoP），在完成安全策略校验后，对连接进行智能优化，确保用户获得稳定、流畅的访问体验。

SASE 的典型应用场景

对于所有摒弃 “核心数据中心集中交付应用” 模式的企业而言，SASE 均能发挥显著价值。当前，以下几类典型场景正推动着 SASE 技术的落地普及：

1. 为混合办公模式提供安全支撑，消除 VPN 瓶颈近二十年来，虚拟专用网络（VPN）一直是保障远程 / 移动用户安全接入的主流方案。但 VPN 的扩展能力有限且成本高昂 —— 这一点，许多企业在新冠疫情期间全员远程办公时已深有体会。相比之下，SASE 具备动态扩展能力，可灵活满足远程办公场景的安全需求，适配企业人员架构的持续演变。

2. 助力混合云部署与云迁移进程混合云架构将公有云、私有云与本地基础设施融为一体，构建灵活的计算环境，支持工作负载根据业务需求在不同环境间自由迁移。传统广域网的安全方案无法适配这种动态的负载迁移需求，而 SASE 通过将安全能力与底层基础设施解耦，能够为跨环境流转的流量提供全程安全防护。同时，它还允许企业根据自身节奏，平稳推进业务系统的云迁移工作。

3. 赋能边缘计算，应对物联网 / 工业物联网设备的安全挑战边缘计算是一种分布式计算架构，其核心是将应用系统与计算资源从中心化数据中心下沉至靠近数据源的网络边缘（如移动终端、物联网（IoT）设备、工业物联网（OT）设备、边缘服务器等）。这种架构能够显著降低应用响应时延，加速数据洞察的生成，尤其适用于需要实时处理海量流式数据的人工智能（AI）与机器学习应用场景。

   为支撑这类应用，企业或解决方案提供商部署了数以万计的物联网传感器与工业物联网设备，但其中许多设备未配置完善的安全防护措施，极易成为黑客攻击的目标 —— 黑客可通过劫持这些设备侵入敏感数据源、破坏业务运营，甚至发起分布式拒绝服务（DDoS）攻击。SASE 的核心价值在于，它能在这些设备接入网络时即执行安全策略，并通过统一的管理控制台，为企业提供所有接入设备的可视化管理能力。

本公众号各类文章仅供学习交流之用！

更多资料获取，请加入【网络安全行业研究】知识星球

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：CISSP Learning 王水江《安全访问服务边缘（SASE）》