图4-对边缘的定义
上图的要点是：
- 边缘可以接触到物联网；
- 边缘在传统上是CDN（内容交付网络）提供商的优势领域。
03 零信任和SASE的对比
理解SASE的第二件事，是理解零信任与SASE的区别。在本届RSAC大会上，趋势科技在《混合云的零信任挑战：真相与神话》议题中，对此做了澄清：
图5-SASE和零信任的对比
上图中有句反话：“得益于SASE供应商们的过度营销，才使得我们对零信任和SASE更加困惑。” 笔者对此深有共鸣。
上图中的关键是：
- SASE是零信任的一种形式；
- SASE由单个供应商部署；
- 相对来说，零信任概念是比较宽泛的。
04 SASE的发展
在Gartner 2020年云安全炒作周期图中（因版权问题不便贴出），SASE已经站上希望之巅（Peak of Inflated Expectations）。但其深蓝颜色仍然表明，还是需要5-10年才能得以成熟。而且该图是针对国际而言的，在国内可能还要晚些。
值得期待的是，基于以下因素，SASE肯定会加速发展：
- Gartner大力推动SASE模型；
- Forrester开始跟进并提出ZTE（零信任边缘）模型（见下文）；
- 零信任与SASE的融合趋势（见下文）。
三、ZTE的提出和策略
01 ZTE的提出
简单地说，Gartner的SASE（安全访问服务边缘）概念相当于“边缘安全”。Forrester很快认识到这个概念的前瞻性，于是在2021年1月发布的《为安全和网络服务引入零信任边缘（ZTE）模型》报告中，正式提出ZTE（零信任边缘，Zero Trust Edge）。
Forrester在该报告中指出，零信任主要有两类概念：
- 一是数据中心零信任：即资源侧的零信任。
- 二是边缘零信任：即边缘侧的零信任访问安全。而这正是ZTE（零信任边缘）。
Forrester零信任边缘（ZTE）模型如下：
图6-ZTE（零信任边缘）模型
02 ZTE和SASE的对比
2021年2月，Forrester在《将安全带到零信任边缘》报告中解释说：Forrester的零信任边缘（ZTE）模型与Gartner的SASE模型是相似的。而主要区别在于：零信任边缘模型的重点在零信任。
我们姑且将ZTE与SASE统称为“边缘安全”。既然ZTE与SASE相似，为什么Forrester还要提出ZTE概念？笔者认为，这正是Forrester的高明之处。Forrester通过引入一个通俗易懂的零信任边缘（ZTE）概念，就轻松地将SASE纳入了零信任版图。大家稍微想想就理解，虽然是同一回事，但"零信任边缘"（ZTE）要远比"安全访问服务边缘"（SASE）容易理解得多。
另外，笔者认为，ZTE和SASE在实施边缘安全的路径上有显著区别：
- 耦合程度区别：SASE强调网络和安全紧耦合，所以要求单一提供商提供全套SASE产品；ZTE强调网络和安全解耦，认为可以多个供应商集成。
- 实施路线区别：SASE强调网络和安全同步走；ZTE强调零信任先行，网络重构滞后。（参见下文）
笔者比较认同Forrester的思路，也就是网络和安全解耦的方式。在本届RSAC大会，趋势科技的安全副总裁Greg Young，在议题《怀疑论者指南》中，旗帜鲜明地表达了这种观点："关于SASE、零信任、ZTE的定义，有些人会在里面添加网络技术，对此我表示怀疑。如果说一个零信任的解决方案里，谈论了很多关于SD-WAN的东西，你就要非常小心。我的零信任和SASE，当然要去适应和拥抱SD-WAN环境，但这并不意味着我自己一定要有SD-WAN。所以，对于把SD-WAN作为零信任解决方案进行售卖这样的做法，大家一定要非常警惕。"
03 ZTE的推进策略
2021年2月，Forrester在《将安全带到零信任边缘》报告中，针对ZTE/SASE的推进路线，特别指出：ZTE要先解决战术性“远程访问”问题，最后再解决战略性“网络重构”问题。原因在于，要重构企业网络结构，是个极大挑战，最好把这个硬骨头放到最后再解决。
具体而言，Forrester的“先战术、再战略”的推进思路如下：
- 第1步：先用ZTNA（即SDP型零信任）技术，解决远程访问问题；
- 第2步：再逐步追加其它的安全控制（如SWG、CASB、DLP）；
- 第3步：最后使用SD-WAN技术，解决网络重构问题。
Forrester的边缘安全推进策略，显得相当务实，也更加重视零信任。相比之下，Gartner的边缘安全推进策略，就太理想化了。
四、零信任与SASE的融合
通过上面的解释，我们已经能够看出，Forrester正在将零信任和边缘安全融为一体（孙大圣已经被如来收入掌中）。
同时，我们注意到，在本届RSAC大会上，很多安全专家也已经在零信任和边缘安全相互融合的道路上做了探讨。
01 零信任的演进路线
在本届RSAC大会上，趋势科技在《混合云的零信任挑战：真相与神话》议题中，给出了通往零信任的各条路线：
图7-通往零信任的路线
上图可见：
- Gartner提出的SASE和ZTNA都已囊括在零信任的范畴中；
- Forrester的ZTE（零信任边缘）与Gartner的SASE已经统合在一起。
02 端到端零信任架构
在本届RSAC大会上，VMware在《零信任，零痛苦：一个具有内置安全性的实用实现》的议题中，给出了如下的端到端零信任架构：
