过去守的是“网络边界”，今天要管的是“每一次访问”。业务上云、远程办公与移动终端，让保护对象从位置转向身份、设备与数据。
二十年前，企业安全工程师最常说的一句话是：“把边界守好。”今天，更常听到的是：“要看清每一次访问。”这个转变是怎么发生的？
第一阶段：边界防护的黄金时代
早期的企业网络很简单：
- 服务器放在机房里。
- 员工在办公室里用固定电脑办公。
- 对外只有少数几个出口。
在这样的环境里，防火墙是最有效的工具：守住出入口，就守住了大部分风险。需要远程办公的人，则通过 VPN 接入内网，仿佛“把电脑延长到公司里”。
这套思路背后的假设是：内部相对可信，外部相对危险。
第二阶段：边界开始松动
随后几件事，一件件改变了前提：
- 业务上云： 应用不再都在机房，数据分散到不同的云平台。
- 远程与移动办公： 员工用手机、平板、家里的电脑访问业务，办公地点不再固定。
- 合作方接入： 外包、供应商和合作伙伴需要访问部分系统。
- 分支与多地办公： 网络结构越来越复杂，“出入口”越来越多。
城墙依旧在，只是城门越开越多，墙内墙外的界线越来越模糊。
第三阶段：重新思考“守什么”
当边界不再可靠，安全就需要换一个角度来回答：我到底要保护什么？
答案逐渐清晰：要保护的不是“网络位置”，而是几样更具体的东西。
- 身份： 访问者是谁。
- 设备： 他在用什么终端，状态如何。
- 数据与应用： 他想访问什么，是否被允许。
于是，安全的判断单位，从“这个人在不在内网”，变成了“这一次访问是否可信”。
一个例子：同样是“远程访问”
十年前，远程访问往往是这样：员工打开 VPN 客户端，输入账号密码，接入后就像坐在办公室里，能看到的内部系统基本一样多。
今天，更合理的方式是：员工身份先被确认，设备状态被检查，之后只看到自己岗位需要的几个业务；访问期间的行为被记录，一旦异常，访问可以被限制。同样是“连回公司”，前者给的是“一张通行证”，后者给的是“一份带范围的授权”。
这就是思路的变化：从“把人放进来”，到“把对的人，在对的条件下，放到对的资源前”。
VPN 去哪了
VPN 并没有消失，它依然能解决很多传统远程接入问题。但它主要回答的是“能不能连”：连上之后，往往就进入了一个较大范围的网络。今天的安全接入，更需要进一步回答：谁能连、能访问什么、访问过程是否留下记录。
面向中小企业、民企的安全通，就是在这个思路下的轻量化接入：强调“不只是连上，而是先确认身份”，在快速部署的前提下，为核心业务提供基础身份认证和访问权限控制。它与传统 VPN、SASE 的关系，统一身份与安全接入方案页里有一张对比说明，可以对照着看。
小结
- 边界防护基于“内部可信”的假设，而这个假设已被业务变化打破。
- 保护对象正在从网络位置转向身份、设备与数据。
- VPN 仍有价值，但需要在“连接”之外增加“按身份与权限访问”的能力。