遗留系统无法改造时，零信任可以在系统前加统一接入入口、在网络侧识别设备并收紧访问范围，不动应用本身也能把访问管住。
很多企业最关键的业务，恰恰跑在最老的系统上：没人敢动、厂商不再维护，或者根本无法接入新的认证方式。零信任是不是只适用于新系统？并不是。对遗留系统，思路是“系统不动，把门管好”。
遗留环境的难点在哪里？
先看清约束，才能选对办法。常见的有四类：
- 应用不支持现代认证，只能用本地账号或固定口令；
- 系统无法安装客户端或代理程序；
- 业务不能中断，改造窗口极短；
- 系统使用的协议老旧，对网络调整敏感。
不改系统，怎么管住访问？
核心思路是在遗留系统的前面，放一个统一的访问入口，让所有访问先经过入口，再到达系统本身。
三种常用的做法
做法一：在系统前加统一接入入口
用户先在入口完成身份认证、终端检查和权限判断，通过后才允许访问后端系统。系统本身不需要改动，认证方式的升级由入口承担。这种做法适合 Web 类、通用协议类的老业务。
做法二：网络侧识别与限制
对于无法安装客户端的设备和专用终端，可以在网络侧识别设备、学习它的正常访问行为、只放行必要的访问。设计思路见摄像头、PLC、自助终端装不了客户端：零信任怎么管住这些“哑设备”？，具体能力见可信接入防护。
做法三：分段与隔离
把遗留系统放入单独的网络区域，限制谁能到达它，并记录每次访问。这样即使系统本身有已知的薄弱点，攻击者也很难走到它面前。
实施时的几个要点
- 先梳理访问关系： 搞清楚谁在访问、通过什么协议访问，避免策略上线后误拦。
- 先观察，再收紧： 先以记录模式运行一段时间，确认没有影响后再启用拦截。
- 保留应急通道： 万一入口出问题，业务要有可控的旁路方式。
- 同步规划替换： 入口是过渡手段，长期仍然需要有系统更新或替换的规划。
常见误区
- “老系统不改就没法做零信任”： 只要访问必须经过入口，就能先把访问管住。
- “上了入口就万事大吉”： 系统本身的漏洞仍需修补，入口只能缩小暴露面。
- “一次切换所有访问方式”： 建议按业务分批，先从影响最小的开始。
小结
- 遗留系统可以“不改系统，先管访问”。
- 三种常用做法：统一接入入口、网络侧识别与限制、分段与隔离。
- 先观察后收紧，保留应急通道，同步规划长期替换。