01
零信任概述
从边界安全到零信任的演进、三大核心原则、SDP与ZTNA架构对比。
演进原则架构
02
接入流程拆解
用户发起接入请求、控制平面策略评估、数据平面隧道建立、业务流量转发。
请求策略隧道
03
客户端问题排查
客户端安装与版本兼容性、证书与密钥配置错误、网络连通性测试方法。
兼容性证书连通性
04
控制平面故障
控制器不可达、策略同步失败、身份认证超时、MFA/SSO集成问题。
不可达同步超时
05
数据平面故障
网关路由配置错误、隧道建立失败（DTLS/IPsec）、MTU与分片问题。
路由隧道MTU
06
身份与权限问题
用户身份源同步失败、动态权限变更未生效、SPIFFE/SPIRE证书轮换。
身份源权限SPIFFE
07
网络与防火墙策略
NAT穿透问题、端口与协议放行清单、DPI对加密流量的影响。
NAT端口DPI
08
日志与监控体系
关键日志字段解读、分布式追踪（OpenTelemetry）、告警规则配置。
日志追踪告警
09
性能与容量瓶颈
控制平面QPS瓶颈、数据平面吞吐量下降、延迟抖动分析。
QPS吞吐延迟
10
高可用与灾备
控制器集群脑裂、网关故障转移失败、多数据中心流量调度。
脑裂故障转移调度
11
证书与PKI管理
证书链验证失败、CRL/OCSP响应超时、mTLS双向认证握手失败。
证书链OCSPmTLS
12
DNS与域名解析
私有DNS解析失败、SRV记录缺失、DNS缓存污染导致路由错误。
私有DNSSRV缓存
13
代理与转发规则
HTTP CONNECT代理配置错误、透明代理拦截、七层路由规则冲突。
CONNECT透明代理七层
14
协议兼容性
UDP/TCP协议选择冲突、QUIC协议降级、WebSocket握手失败。
UDP/TCPQUICWebSocket
15
客户端策略更新
策略推送延迟、本地策略缓存过期、强制注销与重新认证。
推送缓存重新认证
16
第三方集成故障
IdP（Okta/Azure AD）集成问题、SIEM（Splunk）日志接入失败。
IdPSIEM集成
17
安全策略冲突
条件访问策略重叠、地理位置限制误判、设备合规性检查失败。
条件访问地理位置合规
18
隧道保活与重连
Keepalive机制失效、会话超时配置不当、网络切换导致断连。
Keepalive超时断连
19
IPv6双栈问题
IPv6地址分配冲突、AAAA记录查询失败、双栈路由策略错误。
IPv6AAAA双栈
20
容器化部署问题
K8s Service Mesh集成、Sidecar代理配置、Pod网络策略限制。
K8sSidecar网络策略
21
API网关与零信任
API密钥管理、JWT令牌验证失败、速率限制触发误拦截。
API密钥JWT限流
22
远程办公场景
家庭路由器UPnP问题、VPN网关负载均衡、多因素认证延迟。
UPnP负载均衡MFA
23
物联网设备接入
设备证书预置、非标准协议适配、带宽受限下的隧道优化。
证书预置协议适配带宽
24
云环境部署
VPC对等连接路由、云防火墙规则、跨账号资源访问控制。
VPC云防火墙跨账号
25
混合云架构
本地IDC与云上控制器同步、专线故障切换、DNS解析策略。
IDC专线DNS
26
安全事件响应
异常流量检测、会话强制吊销、取证日志导出。
检测吊销取证
27
自动化运维
Terraform/Ansible部署零信任、CI/CD策略验证、混沌工程测试。
IaCCI/CD混沌
28
合规与审计
SOC2/ISO27001审计要求、访问日志保留策略、数据主权合规。
SOC2审计数据主权
29
案例实战一：金融行业
跨地域、高安全等级环境下的零信任接入故障排查。
金融跨地域高安全
30
案例实战二：互联网企业
零信任迁移中的典型故障与解决方案。
迁移典型故障方案