遏制内部威胁
员工只能访问明确授予给他们的 VPN。开发者无法触及财务团队的 VPN，原因不在于防火墙规则，而在于他们从未获得访问权限。
零信任 VPN 访问
在 PrivyNet 上部署 VPN 后，只有您拥有访问权限。其他所有用户默认都被拒之门外，无论他们是否持有凭据。访问权限必须按用户、按 VPN 明确授予。没有敞开的大门，没有默认的信任。
默认状态：任何人都无法进入
大多数 VPN 方案把凭据等同于访问权限：只要能通过认证，就能连接。PrivyNet 则将两者彻底分开。
传统 VPN
用户拿到凭据，就可以连接了。VPN 信任任何能通过认证的人：不存在第二道关卡。
- 凭据一旦泄露，网络即被访问
- 无从了解谁应当拥有访问权限
- 离职处理需要手动删除凭据
PrivyNet
VPN 部署完成后，只有执行部署的管理员拥有访问权限。其他所有用户，无论持有什么凭据，都会被拒之门外，直到管理员明确授予其访问权限。
- 仅凭凭据无法连接
- 每一项授权都是有意为之且可审计
- 撤销授权会立即终止访问
明确授权如何运作
从部署到用户连接只需四步，每一步都是有意为之
部署您的 VPN
在控制台中创建一个新 VPN。系统会为您开通基础设施，包括一台专属 VPN 服务器和一个静态 IP。此时只有您一人拥有访问权限。
选择要授权的用户
打开该 VPN 的访问面板，选择需要访问这个特定 VPN 的用户。每一项授权都会连同时间戳和执行授权的管理员一并记录。
用户即刻连接
获得授权的用户现在可以通过认证并连接。没有授权的用户会被拒绝，即使他们持有另一个 VPN 的有效凭据也不例外。
几秒内即可撤销
随时移除用户的授权。其活动会话会被终止，在重新获得授权之前无法再次连接。无需等待，无需排队提交工单。
访问权限按用户、按 VPN 管理。用户可以获准访问工程 VPN，而不能访问财务 VPN，即使其持有有效凭据也是如此。
为什么默认拒绝至关重要
访问模型是您的第一道防线，先于加密，先于认证，先于其他一切
保障外包人员与第三方访问安全
引入外包人员时，他们只获得所需的那一个 VPN 的访问权限，仅此而已。合作结束后，其访问权限即被撤销。他们自始至终都看不到贵机构的任何其他 VPN。
默认即可干净利落地完成离职处理
在控制台中移除用户，即可撤销其在所有获授权 VPN 上的访问权限。无需另外注销任何 VPN 账户：访问列表就是唯一的事实来源。
杜绝权限过度分配风险
传统 VPN 会向任何持有凭据的人开放网络访问。PrivyNet 则要求管理员为每个 VPN 上的每位用户逐一做出决定。权限过度分配只能是刻意为之：绝不会意外发生。
传统 VPN 访问与 PrivyNet 零信任对比
区别不在于加密或协议，而在于访问模型默认做出的假设
| 对比项 | 传统 VPN | PrivyNet |
|---|---|---|
| 部署时的默认状态 | 任何持有凭据的人都能连接 | 只有执行部署的管理员拥有访问权限 |
| 新用户如何获得访问权限 | 拿到凭据即可连接 | 管理员按用户、按 VPN 明确授予访问权限 |
| 访问范围 | 通常是所有用户共用一个 VPN | 按用户、按 VPN：精细且明确 |
| 外包人员访问 | 与员工凭据相同：访问权限也相同 | 只授予某一个特定 VPN 的访问权限 |
| 离职处理 | 必须手动停用或删除凭据 | 在控制台中移除用户：访问权限立即撤销 |
| 权限过度分配风险 | 高：默认即放行 | 无：默认拒绝，每一项授权都是有意为之 |
常见问题
关于 PrivyNet 零信任访问模型的常见问题
在 PrivyNet 中部署新 VPN 后会发生什么？
部署 VPN 后，只有执行部署的管理员拥有访问权限。贵机构的其他所有用户默认都被拒之门外。在您从控制台中明确授予访问权限之前，其他任何人都无法连接。
我能否只让用户访问部分 VPN，而不能访问其他 VPN？
可以。访问权限按用户、按 VPN 管理。用户可以获准访问工程 VPN，而不能访问财务 VPN。同一套凭据适用于该用户获准访问的所有 VPN：唯一变化的是 DNS 端点。
如果有人持有 VPN 凭据，但从未获得访问授权，会怎样？
他们无法连接。仅持有凭据并不够：用户必须在该特定 VPN 上拥有明确的访问授权。没有授权，认证就会被拒绝。
零信任访问是一个可以关闭的设置吗？
不是。默认拒绝在基础设施层面强制执行：它不是一个可配置的选项。每个 VPN 上的每位用户都必须拥有明确的授权。这是有意为之：它让意外的权限过度分配无从发生。
如何撤销访问权限？
在控制台的 VPN 访问面板中移除该用户的授权即可。其活动会话会立即终止，在获得新的授权之前无法重新连接。详情请参阅我们的即时撤销会话页面。
这能与 RADIUS 认证配合使用吗？
可以。VPN 服务器上的 RADIUS 会根据用户的 PrivyNet 账户核验每一次登录。PrivyNet 的访问授权在此基础上再加一层：用户必须既持有有效凭据，又拥有明确的访问授权，才能连接。
默认拒绝。明确授权。没有例外。
每个 PrivyNet VPN 在启动时都没有任何用户，只有一位管理员。每增加一项访问授权都是经过深思熟虑的决定，而每一项授权都能在几秒内撤销。
部署时默认拒绝
按用户、按 VPN 明确授权
几秒内即可撤销
