【零信任安全架构】微分段深度拆解：从 VLAN 到 eBPF 的访问控制演化
内容提要
微分段技术将网络划分为细粒度的安全区域，实现精确的访问控制，确保服务间的安全通信。实施过程包括可观测性、粗粒度分段、细粒度服务级策略和L7精确策略。尽管管理成本较高，但需在安全性与运维成本之间找到平衡，选择合适的技术栈（如Cilium、Istio）以满足不同规模和需求的安全策略。
关键要点
-
微分段技术将网络划分为细粒度的安全区域，实现精确的访问控制。
-
微分段的实施过程包括可观测性、粗粒度分段、细粒度服务级策略和L7精确策略。
-
微分段的四层技术栈包括VLAN、ACL、安全组、Kubernetes NetworkPolicy、Cilium和Istio。
-
Cilium使用基于身份的eBPF执行微分段，提供更高的性能和灵活性。
-
Istio的AuthorizationPolicy在服务网格层面实现L7策略，基于mTLS身份进行访问控制。
-
微分段实施分为四个阶段：可观测性、粗粒度分段、细粒度服务级策略和L7精确策略。
-
微分段的管理成本高，需在安全性与运维成本之间找到平衡。
-
选择合适的技术栈（如Cilium、Istio）以满足不同规模和需求的安全策略。
延伸解读
微分段的实施挑战
微分段的实施过程分为四个阶段，每个阶段都需要仔细规划和执行。尤其是在细粒度服务级策略阶段，团队需要梳理每个服务的合法依赖关系，这可能导致策略数量激增，增加管理成本。因此，企业在实施微分段时，需权衡安全性与运维成本，避免过于复杂的策略导致运维效率低下。
技术栈选择的影响
微分段的技术栈选择直接影响安全性和性能。Cilium和Istio各有优劣，Cilium在性能上表现优异，适合大规模K8s集群，而Istio则提供更细致的L7策略控制。企业应根据自身的规模和安全需求，合理选择技术栈，以实现最佳的安全效果和运维效率。
跨集群微分段的复杂性
在多集群环境中实施微分段比单集群更为复杂。由于不同集群之间的标签不共享，跨集群的策略通常只能依赖更粗粒度的选择器。这意味着在设计微分段策略时，企业需要考虑到集群间的协作和策略的一致性，以确保整体安全性不受影响。
延伸问答
微分段技术的主要目的是什么？
微分段技术的主要目的是将网络划分为细粒度的安全区域，实现精确的访问控制，确保服务间的安全通信。
微分段的实施过程包括哪些阶段？
微分段的实施过程包括四个阶段：可观测性、粗粒度分段、细粒度服务级策略和L7精确策略。
Cilium和Istio在微分段中有什么不同？
Cilium使用基于身份的eBPF执行微分段，提供高性能和灵活性，而Istio在服务网格层面实现L7策略，基于mTLS身份进行访问控制。
微分段的管理成本高的原因是什么？
微分段的管理成本高是因为策略越精确，管理工作量越大，尤其是在服务数量多时，策略数量会显著增加。
在微分段中，如何实现L7精确策略？
L7精确策略通过在服务网格中配置控制到HTTP方法和路径的策略来实现，通常需要在每次API变更时同步更新策略。
微分段技术栈的四层分别是什么？
微分段技术栈的四层分别是：L2 VLAN、L3/L4 ACL和安全组、Kubernetes NetworkPolicy、以及L7的Cilium和Istio。
