Khác biệt trong một phút
Không nên hỏi “cái nào an toàn hơn?” vì câu hỏi đó thiếu bối cảnh. Câu hỏi đúng là: cần bảo vệ loại truy cập nào, chi tiết đến mức nào, cho nhóm người dùng nào và trong những giới hạn hạ tầng nào?
| Khía cạnh | VPN truy cập từ xa | SDP |
|---|---|---|
| Đơn vị truy cập | Mạng | Ứng dụng / dịch vụ |
| Phạm vi sau xác thực | Rộng — mạng nội bộ | Chỉ tài nguyên được phép |
| Kiểm tra trạng thái | Hạn chế | Danh tính + bối cảnh + thiết bị |
| Mức phơi lộ | Có thể phát hiện cổng công khai | Không lộ tài nguyên trước khi cho phép |
Vấn đề không chỉ là mã hóa — VPN cũng mã hóa. Vấn đề nằm ở phạm vi truy cập thực tế.
SDP, ZTNA, SASE thực sự có nghĩa gì?
Nhầm lẫn các thuật ngữ sẽ khiến việc so sánh giải pháp mất ý nghĩa. Zero Trust là tập hợp nguyên tắc theo NIST SP 800-207: không mặc định tin cậy, luôn xác minh — đây là tư thế bảo mật, không phải sản phẩm. SDP là một trong những mô hình lịch sử triển khai nguyên tắc đó: khái niệm gắn với nghiên cứu của DISA, sau đó được Cloud Security Alliance chuẩn hóa trong đặc tả SDP v1.0 năm 2014; đây là ngôn ngữ kiến trúc. ZTNA, Zero Trust Network Access, là ngôn ngữ thị trường: thường bao hàm SDP nhưng cũng có thể gồm proxy ngược không tuân thủ nghiêm kiến trúc CSA. SASE là khuôn khổ rộng hơn, kết hợp mạng (SD-WAN) với bảo mật (ZTNA, CASB, SWG, FWaaS); ZTNA/SDP là một thành phần chứ không tương đương. Xem thêm bài SASE là gì?
VPN doanh nghiệp làm tốt gì, phơi lộ gì?
VPN truy cập từ xa không phải sản phẩm ẩn danh; chức năng của nó là mở rộng truy cập mạng an toàn qua mạng công cộng. NIST SP 800-215 mô tả VPN như sự mở rộng của an ninh vành đai bằng đường hầm. Với truy cập phổ thông, môi trường ổn định và thiết bị được kiểm soát, VPN vẫn là giải pháp vững chắc.
Điểm phơi lộ: đường hầm thường được thiết lập trước khi các lớp kiểm soát chi tiết phát huy tác dụng. Nếu danh tính bị xâm nhập, kẻ tấn công có thể thừa hưởng phạm vi mạng rộng hơn cần thiết. Khi đó, kiểm soát phụ thuộc vào cơ chế mạng tĩnh như tường lửa và ACL nhiều hơn chính sách danh tính động. Việc chọn giao thức cũng quan trọng vì mỗi giao thức có khả năng kiểm soát truy cập gốc khác nhau. Bộ tập trung VPN lắng nghe trên các cổng công khai có thể bị phát hiện — đây là bề mặt cần quản lý, không phải khuyết điểm không thể khắc phục.
SDP thực sự thay đổi điều gì?
Thay đổi nền tảng không nằm ở mã hóa mà ở độ chi tiết của quyền và việc kiểm tra trạng thái trước kết nối. SDP không phải VPN được hiện đại hóa mà là một mô hình kiểm soát khác. Trong kiến trúc CSA, tài nguyên không xuất hiện trong quá trình dò tìm trước xác thực; cổng kết nối chỉ hiển thị ứng dụng đã được cấp phép rõ ràng. Single Packet Authorization (SPA) thuộc mô hình chuẩn của CSA, nhưng không phải mọi sản phẩm ZTNA đều sử dụng đúng cơ chế này.
Điểm thay đổi: nếu danh tính bị xâm nhập, kẻ tấn công chỉ vào được tài nguyên đã cho phép trong phiên đó — khả năng di chuyển ngang giảm về mặt cấu trúc chứ không biến mất. Điểm không được bảo đảm: nếu thiếu IdP vững chắc, MFA bắt buộc và khả năng quan sát thiết bị, SDP không thể tạo nên kiến trúc an toàn. Đây là kiểm soát truy cập, không phải chương trình bảo mật toàn diện; nó không thay thế EDR hay SIEM.
Truy cập từ xa và site-to-site: đừng so sánh sai
VPN truy cập từ xa: kết nối một người dùng ở xa với mạng — đây là trường hợp SDP/ZTNA phù hợp nhất để thay thế hoặc bổ sung. VPN site-to-site: nối hai mạng với nhau — văn phòng, trung tâm dữ liệu, cloud riêng — ở lớp mạng cho các luồng rộng và ổn định; SDP không phải lựa chọn thay thế tự nhiên. Khi nói “SDP và VPN”, người ta gần như luôn nhắc tới truy cập từ xa.
SDP không tự động thay thế những gì?
- Hệ sinh thái IdP/MFA: SDP cải thiện kiểm soát truy cập chứ không nâng chất lượng nền tảng IAM.
- Quản lý thiết bị: kiểm tra trạng thái cần MDM hoặc EDR cung cấp dữ liệu tương ứng.
- Truy cập kỹ thuật và hệ thống cũ — máy chủ với máy chủ, thiết bị mạng, giao thức công nghiệp: VPN thường vẫn là giải pháp vận hành.
- Kết nối site-to-site: phần lớn kiến trúc hiện tại không bao phủ trường hợp này.
- Bảo mật ứng dụng: SDP kiểm soát ai được truy cập, không kiểm soát những gì xảy ra bên trong ứng dụng; WAF và quản lý bí mật vẫn cần thiết. Điều này đặc biệt quan trọng với SaaS.
Khi nào nên giữ cả hai?
VPN và SDP cùng tồn tại là điều phổ biến và thường hợp lý về kiến trúc. SDP xử lý trường hợp cần quyền chi tiết — nhà cung cấp ngoài, tài nguyên quan trọng, thiết bị không được kiểm soát — còn VPN phục vụ truy cập nội bộ phổ thông, luồng site-to-site và hệ thống cũ.
| VPN vẫn phù hợp khi… | SDP tạo giá trị khi… |
|---|---|
| Hạ tầng chủ yếu đặt tại chỗ | Bên thứ ba thường xuyên truy cập tài nguyên |
| Nhân viên dùng thiết bị được kiểm soát | Hạ tầng phân tán, đa cloud hoặc lai |
| Quyền truy cập rộng và ổn định | Ứng dụng quan trọng phải tách khỏi quyền phổ thông |
| Chưa triển khai IdP, MFA và MDM | Bộ tập trung VPN đang là bề mặt rủi ro thực tế |
Kết luận
Cần truy cập từ xa phổ thông cho nhân viên nội bộ trên hạ tầng ổn định, đặt tại chỗ? VPN vẫn là lựa chọn hợp lý. Gặp vấn đề về độ chi tiết, mức phơi lộ, truy cập bên thứ ba hay bảo vệ ứng dụng nhạy cảm trong môi trường lai/cloud? SDP/ZTNA phù hợp hơn. Với nhiều doanh nghiệp, lựa chọn đúng không phải thay thế ngay lập tức: giữ VPN cho quyền rộng hoặc hệ thống cũ, đồng thời đưa SDP vào nơi quyền chi tiết trở thành yêu cầu thực.
Câu hỏi thường gặp
SDP và ZTNA có giống nhau không? Không hoàn toàn: SDP là ngôn ngữ kiến trúc của CSA, còn ZTNA là thuật ngữ thị trường, nổi bật trong cách phân loại của Gartner. ZTNA rộng hơn và có thể gồm proxy ngược nằm ngoài kiến trúc SDP nghiêm ngặt.
VPN đã lỗi thời chưa? Chưa. Nếu được cấu hình đúng, cập nhật và kết hợp MFA, VPN vẫn hoạt động tốt. Câu hỏi thực tế là liệu nó có bao phủ trường hợp sử dụng hiện tại, nhất là bên thứ ba và hạ tầng phân tán hay không.
SDP có thay thế tường lửa không? Không. SDP kiểm soát quyền vào tài nguyên theo danh tính, nhưng không thay thế việc lọc lưu lượng mạng. Hai lớp bổ sung cho nhau.