【项目背景】
稀土高新区一家科技公司，一百多人常年远程办公，VPN账号在外网暴露面扫描器上常年挂着——那个登录页就是挂给全世界看的靶子。去年被密码喷洒攻击爆破成功过一次，幸亏二次认证兜住没造成损失。老板问有没有"不在公网开洞"的远程方案，这个问题问到点子上了——传统VPN先连接后认证，暴露面天然存在；零信任SDP（软件定义边界）反着来：先认证后连接，不认证连端口都摸不到。
【咨询设计】
方案选国产零信任网关（深信服aTrust同类架构）落地三件事：一是身份收紧，员工终端装轻量客户端，认证因子三选二——企业微信扫码、短信验证、设备指纹，缺一不放行；二是授权细化，认证通过后按应用粒度放通，研发只见代码库和编译环境，财务只见ERP，不再是一根网线插进整个内网的老VPN模式；三是终端基线，杀软在跑、补丁达标才放行，不合规的终端只进隔离区，能看公告不能碰业务数据。内网应用全部走网关代理，服务器不再监听公网任何端口——砍掉VPN后，公网扫描只能看到网关登录页，其他端口全关。改造前老VPN的七个公网暴露端口，改造后归零。
【施工规划】
切换分三批：第一批IT自己人当小白鼠跑一周，第二批研发，第三批全员；切换周期保留老VPN一个月并行兜底，出问题随时可回。内网应用逐个登记代理清单，共享打印机、老C/S客户端这类"钉子户"资源走网关的TCP代理通道逐个打通。一百二十人的客户端推送走域策略静默安装，员工无感。
【安全补丁】
零信任上线不等于一劳永逸，运营跟上：登录日志接入SIEM，异地异常登录自动触发强制重认证；离职账号当天回收——VPN时代"人走了账号还在"的隐患一并清了；每季度做一次全员钓鱼演练，客户端的安全提醒打开率纳入考核。零信任的信任是动态的，策略也要跟着动态调。
【验收交付】
切换完成后外网扫描暴露面为零；一百二十人远程实测，内网系统访问延迟增加不到40毫秒，两周里仅三起咨询全是"忘记手机认证"级别的操作问题。交付策略矩阵和运营手册，管理员培训两轮。
【售后承诺】
零信任要养不要装，我们承诺2小时上门，大年三十打17704868686也接，终身免费咨询，季度免费策略体检。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）