被认为是值得信赖的，而外部则被认为是敌对的。但是，即使自设计开始以来发生了许多变化，这仍然是大多数网络专业人员的基础。
固定边界通常由许多网络和安全设备组成，从而形成服务链堆栈，从而导致设备蔓延。通常，用户可能需要通过的设备才能到达内部LAN。但是通常，该堆栈将由全局负载平衡器，外部防火墙，DDoS设备，VPN集中器，内部防火墙以及最终的LAN网段组成。
外围方法的设计基于可见性和可访问性。如果网络外部的实体看不到内部资源，则无法获得访问权限。结果，外部实体被阻止进入，但内部实体被允许散播。但是，它仅在一定程度上起作用。实际上，固定网络边界将始终是易受攻击的；这只是时间问题。具有足够技能的人最终将获得成功。
考虑当今网络的工作方式和流量模式的变化；无论是内部还是云，这都限制了固定边界的影响。如今，我们的网络周边非常畅通，有许多POP点。
想象一下有一座带有吊顶的城堡,进入门禁很容易，因为我们只需要通过一名警卫即可。只有一种进出的方式。但是今天，在这个数字世界中，我们有这么多小门和小门进入，所有这些都需要单独保护。
这归结为引入了基于云的应用程序服务并更改了外围位置。因此，用于外围的现有网络设备在拓扑上位置不佳。如今，重要的一切都在外围，例如远程访问工作程序，SaaS，IaaS和基于PaaS的应用程序。
无论资源位于何处，用户都需要访问各种云服务中的资源，从而导致控制复杂的多云环境。客观上，用户不必也不应该在意应用程序的位置。他们只需要访问应用程序。同样，越来越多的移动劳动力使用要求随时随地使用各种设备进行访问，这给企业提供支持这一动态劳动力的挑战。
此外，越来越多的设备（例如BYOD，现场承包商和合作伙伴）将在网络内部不断发展。这最终导致了网络过度连接的世界。
过度连接的网络过度连接的网络会导致网络设备的配置复杂。这导致没有任何上下文的大型而复杂的策略。
它们提供了对各种服务的粗粒度访问级别，其中IP地址与实际用户不对应。使用静态配置限制传入和传出流量的传统设备通常基于IP数据包和端口号中的信息。
本质上，没有策略的概念，也没有解释为什么给定源IP地址在列表中。这种方法没有考虑任何信任的概念，并且无法动态地调整与设备，用户和应用程序请求事件有关的访问。
IP地址问题早在1990年代初期，RFC 1597宣布了三个供私人使用的IP范围：10.0.0.0/8、172.16.0.0/12和192.168.0.0/16。如果为终端主机配置了以下地址之一，则认为它更安全。但是，这种信任的假设随着时间的流逝而破灭，今天仍然困扰着我们。
网络地址转换（NAT）也在很大程度上改变了情况。NAT允许内部受信任的主机直接与外部不受信任的主机进行通信。但是，由于传输控制协议（TCP）是双向的，因此它允许数据在连接回内部主机的同时由外部主机注入。
同样，没有关于IP地址的上下文信息，其唯一目的是围绕连接。如果您拥有某人的IP地址，则可以连接到他们。身份验证在堆栈中更高处处理。
用户的IP地址不仅会定期更改，而且用户与IP地址之间也不存在一对一的对应关系。任何人都可以从他们喜欢的任何IP地址进行通信，也可以将自己插入您和受信任的资源之间。
您是否听说过响应互联网控制消息协议（ICMP）请求的20年历史的计算机，但没人知道它在哪里？但这在零信任网络上将不存在，因为该网络是黑暗的，直到管理员使用白名单策略规则集将其打开为止。这与传统的黑人政策规则集相反。您可以在我的课程中找到有关零信任的更多信息：零信任网络：全局。
因此，我们不能仅仅依靠IP地址并期望它们做更多的事情而不是连接。结果，我们必须远离IP地址和网络位置，成为访问信任的代理。网络位置可以更长久地成为网络访问级别的驱动力。它不能完全确定设备，用户或应用程序的信任。
可见性–重大差距当我们分析网络及其缺陷时，可见性是当今混合环境中的主要缺陷。总的来说，企业网络是复杂的野兽。网络专业人员通常不具备准确的数据或洞悉谁或什么在访问网络资源的见解。
IT没有可见性来检测例如不安全的设备，未经授权的用户以及可能传播恶意软件或执行数据泄露的潜在有害连接。
此外，一旦您知道网络元素如何连接，如何通过更广泛的连接性定义确保它们不会重新连接？为此，您需要上下文可见性。您需要全面了解网络，以了解谁，什么时间，何时以及如何与设备连接。
解决方法是什么？需要一种新方法，使应用程序所有者可以保护位于公共云或私有云以及内部数据中心中的基础架构。这种新的网络体系结构称为软件定义的外围（SDP）。早在2013年，云安全联盟（CSA）发起了SDP计划，该项目旨在开发用于创建更强大网络的架构。
SDP背后的原理并不是全新的。国防部和情报社区（IC）内的组织已实施了类似的网络体系结构，该体系结构是在访问网络之前基于身份验证和授权的。
通常，每个内部资源都隐藏在设备后面。用户必须先进行身份验证，然后才能获得授权服务的可见性并授予访问权限。
应用零信任框架SDP是零信任的扩展，可从网络中删除隐式信任。SDP的概念始于Google的BeyondCorp，这是该行业目前朝着总体方向发展。
Google的BeyondCorp提出了公司网络没有任何意义的想法。有关访问应用程序的信任由包含中央设备的静态网络边界设置。该设备允许基于非常粗略的策略进行入站和出站访问。
但是，对应用程序的访问应基于其他参数，例如用户身份，对设备安全性的判断，然后对会话进行一些连续评估。合理地讲，只有这样才允许访问。
让我们面对现实，可以信任内部流量的假设是有缺陷的，而零信任假定网络内部的所有主机都面向互联网，因此是敌对的。
什么是软件定义的周界（SDP）？SDP旨在为动态供应的外围部署外围功能，这些外围适用于云，混合环境和本地数据中心基础架构。在会话期间通常会自动创建一个动态隧道。那是请求实体和可信资源之间的一对一映射。这里要注意的重要一点是，边界的形成不仅仅是为了服从网络团队已经设计的固定位置。
SDP依赖于两个主要支柱，即身份验证和授权阶段。SDP要求端点先进行身份验证并获得授权，然后才能获得对受保护实体的网络访问权限。然后，在请求系统和应用程序基础结构之间实时创建加密连接。
在甚至允许单个数据包到达目标服务之前，对用户及其设备进行身份验证和授权，可以在网络层实施所谓的最小特权。本质上，最小特权的概念是仅授予实体完成工作所需的最小特权。在零信任网络中，特权比传统网络更具动态性，因为它使用许多不同的活动属性来确定信任分数。
黑暗网络连接基于需要了解的模型。在此模型下，不会传输DNS信息，内部IP地址或内部网络基础结构的可见端口。这就是为什么SDP资产被视为“黑暗”的原因。结果，SDP隔离了有关网络和应用程序的所有问题。应用程序和用户被认为是抽象的，无论是在内部部署还是在云中，这都与分配的策略无关。
无论基础网络基础结构如何，都直接在用户及其设备之间授予对应用程序和资源的访问权限。根本没有网络内部和外部的概念。最终，这消除了网络位置点的优势，也消除了IP地址提供的过多的隐式信任。
