关于SD-WAN的详细技术细节，因为内容太多，此处暂不详细介绍了。
SD-WAN是好，但是安全怎么保证呢？
还是举上面的例子，钱庄总部，自然安保森严，但是分店呢？为了保护储户的安全，分店也需要建立如坚固的金库、有战斗力的保安、以及能保证路上安全的镖局队伍。这就是SASE在第一幅图中，右侧的部分：安全能力。简要来说，安全部分能力需要和SD-WAN相配称，即网络即服务的同时，要求安全如影随形，做到“安全即服务”。中外的SASE落地方案区别，主要是根据不同实际情况提供的安全服务内容不同，其实本质上是相似的。
2、主要的客户场景先铺垫一下，对于SASE，客户的需求最核心的就是：在任何场景，任何用户、任何设备、能够方便的访问任何的企业应用，且不降低安全性。简单归纳就是“四个任何”加“安全”。主要场景有三个，国内外这一点其实都比较类似：
1）远程办公场景
这种场景，企业的数据中心位于本地IDC和云上（公有云），移动办公用户，使用VPN/SDP通过互联网连接到企业数据中心或者云上数据中心，访问企业级数据和应用。移动办公，理论上属于企业内网的虚拟延伸。风险很容易感受到：用户身份会不会被盗用？移动设备是否带病毒木马？接下来他会不会泄露企业数据？按照数据流向视角看，有四处存在安全风险，见上图红圈标注位置。
现在再回头看SASE定义框图，安全部分，如下：
随着数字化转型不断加速，新兴技术与创新业务不断打破企业原有安全边界，企业信息安全面临着前所未有的挑战。
- 访问者身份及接入终端的多样化、复杂化打破了网络的边界，传统的访问管控方式过于单一。在用户一次认证后，整个访问过程不再进行用户身份合规性检查，无法实时管控访问过程中的违规和异常行为。
- 业务上云后各种数据的集中部署打破了数据的边界，同时放大了静态授权的管控风险，数据滥用风险变大。高低密级数据融合导致权限污染，被动抬高整体安全等级，打破安全和业务体验的平衡。
- 资源从分散到云化集中管理，按需部署。由于当前安全管控策略分散、协同水平不高，云端主机一旦受到攻击，攻击将难以快速闭环，很难形成全局防御。
零信任是应对上述挑战的重要方法。采用零信任方案可以统一身份管理，构筑身份边界，实时感知风险，实现动态和细粒度授权。
零信任核心原则企业基于持续验证，动态授权和全局防御三个核心原则构建自己的零信任网络。
零信任核心原则
- 持续验证，永不信任，构建身份安全基石
- 零信任对人、终端和应用进行统一身份化管理，建立以身份为中心的访问控制机制。以访问主体的身份、网络环境、终端状态等作为认证的动态考量因素，持续监测访问过程中的违规和异常行为，确保接入网络的用户和终端持续可信。
- 动态授权，精细访问控制，权限随需而动
- 零信任不依赖通过网络层面控制访问权限，而是将访问目标的权限细化到应用级、功能级、数据级，只对访问主体开放所需的应用、功能或数据，满足最小权限原则，极大收缩潜在攻击面。同时安全控制策略基于访问主体、目标客体、环境属性（终端状态、网络风险、用户行为等）进行权限动态判定，实现应用、功能、数据等维度的精细和动态控制。
- 全局防御，网安协同联动，威胁快速处置
- 零信任通过对终端风险、用户行为异常、流量威胁、应用鉴权行为进行多方面评估，创建一条完整的信任链。并对信任分低的用户或设备生成相应的处置策略，联动网络或安全设备进行威胁快速处置，为企业搭建一张“零信任 网安联动”的安全网络。
华为根据零信任核心原则与各行业监管部门共同制定了零信任的标准构架。
