李长连，马季春，蔺 旋（中讯邮电咨询设计院有限公司，北京 100048）

0 前言

在2019年下半年，Gartner提出了一项新的技术安全访问服务边缘（SASE——Secure Access Service Edge）。Gartner 对SASE 的定义为：SASE 是一种基于实体的身份、实时上下文、企业安全/合规策略，以及在整个会话中持续评估风险/信任的服务。实体的身份可与人员、人员组（分支办公室）、设备、应用、服务、物联网系统或边缘计算场地相关联［1］。

SASE 模型是满足云计算和分布式办公需求的网络安全访问模型，是对传统企业网络架构的升级优化，得到了业界的广泛认同，很多厂商都在推进相关研究与方案落地，但目前还没有形成业内公认的标准架构。本文主要探讨如何基于现有SD-WAN 体系构建符合SASE模型的新型架构。

1 SASE理论体系与特征分析

1.1 理论体系

在传统的企业网络中，数据中心是访问的焦点。Gartner 认为，随着企业向软件即服务（SaaS）、云服务和边缘计算平台的过渡，企业数据中心实际上只是一个分支［2］。移动化办公是企业信息化办公的大势所趋，办公所涉及的信息数据，使用的计算终端，正在逐渐走出企业的传统边界，企业安全也正面临着全新的挑战。企业IT 资产不再集中于数据中心，而是分布于公有云、私有云、边缘云、数据中心等多种环境，需支持内网、固定互联网、移动互联网、物联网等多种访问方式，网络访问模型日趋复杂，传统的边界安全访问模型不再适用，安全访问服务边缘（SASE）应运而生。

如图1 所示，SASE 将先前分散的网络和安全服务融合在一起，将本地用户、移动用户以及IoT 设备和云资源，整合为统一的服务。……