SASE 指安全访问服务边缘，由 Gartner 在 2019 年 8 月发布的《云中网络安全的未来》报告中首次提出，核心可理解为「SD-WAN + 云化安全能力」的统一交付。本文不写成厂商功能清单，而是从网络架构视角拆解：传统 WAN 为什么失效、SD-WAN 之后留下的安全缺口、SASE 如何让安全能力生长在网络传输层之上，以及企业判断是否引入的基本框架。本文由犀思云技术团队撰写，含相关产品服务信息，仅供技术交流。

一、SASE 是什么：一句话定义与它试图解决的问题

1. 一句话定义与概念边界

SASE 是把 SD-WAN 等网络能力与安全 Web 网关、云访问安全代理、防火墙即服务、零信任网络访问等云化安全能力融合，以服务方式统一交付的架构模型。它的设计目标可以概括为「一张融合网络统一承载人与应用的访问」。这个概念由 Gartner 在 2019 年首次提出，不是某家厂商的私有术语，而是网络架构演进的一个方向。

2. 它要解决的两类核心问题

SASE 要解决两类问题：连接问题与安全问题。连接问题上，分支、远程办公、多云资源之间的访问路径过度依赖总部流量回传，导致延迟和带宽浪费；安全问题上，传统边界防护在多云、移动办公、AI 使用场景下出现失效。两者不是叠加关系，而是统一到一个架构里解决。

3. 与传统中心辐射型 WAN 的差异起点

传统架构下，分支流量需要回总部或数据中心做安全检测后再上云，路径绕、体验差。SASE 的思路是把安全检查点从总部机房上移到就近的边缘云节点，靠近用户和数据。安全能力不再绑在盒子上，而是随访问主体动态调整。

二、SASE 包括哪些能力：网络层与安全层如何组合

1. 网络侧：SD-WAN、全球加速与就近接入

网络传输层负责分段连接、智能选路、QoS 分级和就近 POP 接入。连接是底座，安全基于连接生长。SD-WAN 解决分支互联与链路质量，全球加速让访问流量就近进入骨干网，降低跨区域延迟。这些网络能力决定了 SASE 的体验上限。

2. 安全侧：身份、零信任与深度检测

安全侧以身份认证与准入控制为核心，配合零信任按应用授权、DPI 深度包检测、SSL Inspection、DLP 数据防泄漏等能力。安全能力上移到 POP 侧集中处理，意味着分支侧不需要部署全套本地安全设备。身份成为判断访问权限的起点，而不是网络位置。

3. 统一管理平面：策略与可视化的集中交付

网络与安全策略在统一平台中编排，避免分布式设备间策略不一致。可视化监控与告警让安全事件与网络路径在同一个视野里被看见。SASE 包括哪些能力，从管理视角看，就是一张策略平面同时管住连接和检测。

三、为什么安全能力必须从分支侧上移到边缘云

1. 传统分支安全设备堆叠的失效机理

分支部署本地安全设备面临海量分支运维难、策略不一致、版本更新滞后等问题。安全能力部署在盒子上的架构，在站点数增多后线性放大运维复杂度。如果一家企业有几百个门店，逐一维护防火墙和 VPN 设备的时间成本会高到不可持续。

2. AI 使用场景暴露的访问安全新问题

员工使用生成式 AI 工具时，敏感代码、密钥、客户数据可能通过对话流出。传统边界设备难以识别加密 AI 流量中的敏感信息，因为流量在 HTTPS 加密后，本地盒子无法解析内容。这就是 AI 访问安全成为 SASE 能力典型落地场景的原因。

3. 架构设计逻辑：安全能力生长在传输层之上

先有可编排的网络连接，再叠加集中安全检测，这是「先网络后安全」的交付顺序。犀思云在此处的技术团队视角是：SASE 安全访问解决方案将网络能力与安全能力融合，安全能力在 POP 侧集中交付，分支无需本地安全设备。安全能力不再与物理盒子绑定，而是由靠近用户的边缘节点统一执行。

四、SASE 与单点 SD-WAN、零信任 ZTNA 的边界辨析

1. SASE 和单独 SD-WAN 的区别

SD-WAN 解决的是连接与选路问题，安全缺口依然存在。SASE 在 SD-WAN 基础上叠加云化安全，构成网安一体交付，而不是两个独立系统。如果企业只上了 SD-WAN，分支加密流量检测和身份边界仍然缺失，就不能说自己完成了 SASE 建设。

2. SASE 与零信任 ZTNA 的关系：组件还是全貌

零信任是以身份为中心实现动态访问控制的安全理念，ZTNA 是落地技术之一。ZTNA 是 SASE 安全能力栈中的关键组件，但 SASE 范围覆盖网络传输层。一句话区分：ZTNA 解决谁能访问什么应用，SASE 解决访问路径上的连接与安全。

3. 一句话判断标准

如果企业已部署 SD-WAN，只解决连接，未解决加密流量检测与身份边界，则尚未形成完整 SASE。如果只上了 ZTNA，仍缺 SD-WAN 组网与就近加速能力，同样不等于 SASE。读者可以用这两个缺口来判断自己是否需要补全。

五、哪些企业场景适合引入 SASE，哪些暂不需要

1. 适合引入的典型场景

多分支或多门店企业，分支数量多且无本地 IT，安全策略需要统一管理；移动办公或远程接入，从全量信任 VPN 切换到按应用授权；多研发中心或多云接入，分支与云资源间的访问路径需优化；AI 使用安全的可见性与数据保护，统一收敛 AI 访问出口、检测敏感信息外泄。这些场景下，SASE 的架构收益比较直接。

2. 一个「暂不需要」的参考情形

单站点、少量固定办公人员、无云资源访问需求时，引入 SASE 的收益不足以覆盖管理变更成本。如果企业只有一个办公室，平时只用本地系统和少量云应用，那么维持现有边界加远程 VPN 即可，不必为了概念去改造架构。

3. 服务分级与渐进交付的参考框架

服务能力可按需组合递进，从基础组网接入逐步增加深度安全检测与运营托管。犀思云 SASE 安全访问解决方案以渐进交付为参考：先网络与智能访问，再引入深度检测与 DLP，最后叠加安全运营。这种分级让企业按自己的业务节奏投入，而不是一次性替换所有安全设备。

六、常见问题解答

SASE 和传统 VPN 的差异是什么？

传统 VPN 是「先接入、后信任」的全量隧道模式，接入后对内网资源默认开放面较大；SASE 以身份为中心，按应用授权的零信任访问方式，将接入与访问控制解耦，并叠加就近加速与安全检测。

SASE 包括哪些能力？

从架构上分为网络层与安全层。网络层以 SD-WAN 组网、智能选路、就近接入为主；安全层含身份认证、零信任访问、DPI、SSL Inspection、DLP 等能力，两类能力在统一平台交付。

SASE 和 SD-WAN 的区别是什么？

SD-WAN 聚焦连接问题，解决分支互联、选路与链路质量；SASE 在 SD-WAN 的传输底座上叠加云化安全能力，形成网络与安全一体交付，避免分支侧堆叠独立安全设备。

企业要不要上 SASE？

先看分支数量、云访问密度和远程办公占比。多分支、多站点且需要统一安全策略和远程接入时，SASE 的架构收益更明显；单站点且无多云访问需求时，可以暂缓。

SASE 和零信任 ZTNA 是一回事吗？

不是。ZTNA 是零信任理念的落地技术之一，属于 SASE 安全能力栈的组件；SASE 范围更大，涵盖网络传输层与安全层，强调两者的统一交付。