但真正做项目的人心里很清楚：
如果底层身份体系没打好，零信任只是一个PPT概念。
而在实际网络环境中，零信任的第一步，从来不是买一堆新设备，而是：
把企业Portal认证体系重新梳理清楚。
因为零信任的核心逻辑只有一句话：
永远基于身份，而不是基于IP。
传统网络的控制维度是：
网段
VLAN
IP地址
一旦终端进入某个VLAN，就默认“可信”。
这与零信任“持续验证”的理念完全相反。
如果企业Portal认证只是一次性登录验证，那也无法支撑零信任。
成熟的零信任架构至少包含三层：
身份层
策略层
访问控制层
企业Portal认证负责的是：
身份确认
身份状态维护
身份与终端绑定
这一步如果不稳定，后面所有策略都无法成立。
很多低阶Portal系统只验证账号密码。
成熟企业Portal认证平台应支持：
账号 + 终端MAC绑定
账号 + 设备类型识别
账号 + 登录位置识别
实现：
不同终端
不同策略。
蓝海卓越企业Portal认证支持多条件策略匹配，可基于账号、终端属性、接入位置下发不同访问策略。
零信任强调：
身份变化 → 权限变化。
例如：
账号被禁用
账号角色调整
策略应即时生效。
成熟企业Portal认证平台应支持：
策略实时下发
在线会话动态更新
避免“需要重新登录才能生效”。
零信任环境下，不能只做“是否能上网”。
必须支持：
不同角色访问不同资源
不同时间访问不同系统
不同终端访问不同业务
企业Portal认证平台的策略引擎必须足够细。
蓝海卓越企业Portal认证支持：
VLAN动态分配
ACL下发
时段控制
限速控制
实现精细化访问管理。
零信任不是一次认证终身有效。
成熟企业Portal认证应支持：
会话有效期控制
异常行为触发再认证
并发数限制
防止账号滥用。
零信任强调可追溯。
企业Portal认证平台必须具备：
完整认证日志
会话变更记录
策略变更记录
支持安全审计与事件回溯。
零信任落地不能推翻现有网络。
企业Portal认证应支持标准协议：
RADIUS
TACACS+
与主流交换机、AC、AP兼容。
蓝海卓越企业Portal认证长期在多厂家环境中部署，兼容性成熟，便于逐步升级架构。
零信任架构下：
认证成为所有访问的前提。
如果企业Portal认证不稳定，影响的不只是上网，而是所有业务系统访问。
因此：
高可用架构
认证网关集群
策略缓存机制
成为必备条件。
真正成熟的路径往往是：
以企业Portal认证为核心
逐步增强身份能力
逐步细化策略能力
而不是一次性推翻重建。
蓝海卓越深耕网络认证与计费领域22年，在企业Portal认证、准入控制、运维审计等方面形成完整产品体系，架构稳定、功能成熟，适合在现有网络环境中逐步演进至零信任模型，同时整体性价比更具优势。
中文