上回我们讲完零信任的业务安全部分（ABAC），现在我们来看看网络安全。

零信任下的网络安全包括两部分在：一部分在终端，另一部分在网关。在终端的称为可信代理，装有可信代理的终端为可信终端；在网关后端的为单报认证（SPA），称之为可信网关。

先认证后连接

我们现有的机制是先连接后认证，意味着任何终端都可以与被访问的资源建立连接，这个就存在着很大的潜在风险，被访问的资源对任何终端都是开放的，即便是有不合法的终端来连接也是如此，而被访问的资源无法事先知道终端的合法性，存在被侵入和劫持的可能。对于零信任的网络安全则要求先认证后连接，这样对于无法通过认证的终端将被拒绝而无法与被访问资源建立连接。如下图所示：

这里的红线表示非可信终端的访问，绿线表示可信终端的访问。

被访问的资源对外不可见

典型的例子就是VPN访问了，VPN一直以来被企业用作远程访问内网应用服务的工具，当VPN认证通过后，内网的所有应用服务将暴露给访问者，这就存在一个问题：如果内网中存在A和B资源，当访问者只需访问A资源的时候，B资源同样被暴露给了访问者，即便访问者没有B资源的权限，但这不妨碍访问者与B资源建立连接，如果要解决这个问题，这就又回到了先认证后连接的解决方案。

针对这个情况，VPN无法解决，零信任的网络安全方案中会通过可信网关屏蔽所有非访问的资源，访问者只能够访问可以被访问的资源。以前面的例子来说，如果访问者需要访问A资源，在零信任网络安全下访问者的身份认证通过后只有A资源对其可见，B资源是不可见的。