SASE这个词可能你已见过，但是会被各种材料的解释眩晕，到底他是一种场景还是服务还是解决方案？SASE又囊括了太多新东西，SD-WAN，SWG，ZTNA，边缘计算，好像都沾边，这怎么学的过来【晕】？
本文作为科普第一弹，会尽量简化解释SASE，便于大家理解这个新事物。
SASE定义
SASE（Security Access Sevices Edge，缩写读为sassy /ˈsæsi/ ）安全访问服务边缘，为Gartner 2019年提出的一种网络架构。Gartner对SASE的定义是：安全访问服务边缘是一种结合了广域网功能和全面的网络安全功能（例如SWG, CASB, FWaaS和ZTNA）的新兴产品，能满足数字化企业的动态安全访问需求。
好家伙...这说是网络和安全融合的服务，SD-WAN不熟，SWG、CASB这些都是啥，SASE跟以前的那些服务差别又在哪啊？
要理解这个新东西，要先从他诞生的背景开始聊起。
SASE的诞生背景
其实，在Gartner定义SASE之前，市面上已有一些接近SASE理念的产品出现了，例如CATO network的CATO Cloud、ZScaler的ZIA服务（ZScaler Internet Access）、PaloAlto的PrismaAccess，他们均依托于强大的全球化云平台，向客户提供安全、网络质量佳的访问接入SaaS服务。ZScaler的现金牛产品ZIA主要是SaaS化的web安全网关（SWG），它可以为任意地点的所有办公室和访问者提供统一的安全防护，并减少企业网络安全建设投入。这些新兴服务满足了云计算时代的企业需求，快速得到应用。我们猜测，Gartner正是看到了这片市场的蓬勃发展，才总结出了SASE模型。
为什么国外的这些接入服务得到了快速发展呢？背后的市场驱动因素主要是企业的数字化转型。
数字化企业具备这些特点：
1.在企业网络之外执行的用户工作比在企业网内执行的用户工作多；
2.在IaaS中运行的工作负载比在企业数据中心中运行的工作负载多；
3.通过SaaS使用的应用程序比从企业基础设施使用的应用程序多；
4.在云服务中，企业数据中心外部的敏感数据要比内部的敏感数据多；
5.流向公共云服务的用户流量超过流向企业数据中心的用户流量；
6.从分支机构流向公共云的流量大于流向企业数据中心的流量。
企业的数字化转型让企业流量走向发生了变化，而以下三点企业需求让SASE模型的出现成为一种必然：
1、云上应用、服务需求增长
企业数字化转型需要随时随地访问应用和服务，而越来越多的企业选择使用云上的应用和服务。可以预料企业数据中心还将长期存在，但和云相比其流量比例会逐渐缩小。过去聚焦于数据中心的网络和安全设计逐渐显得不合时宜。
2、边缘计算需求增长
企业对分布式边缘计算能力需求在不断增长，对低延迟访问本地存储和计算的系统和设备的需求也在不断增长，再加上5G的到来，更让边缘计算需求加速催化。
3、移动办公需求增长
疫情让移动办公爆发增长，公司员工、合作伙伴、代理商都有在企业外部访问企业应用服务的需求，传统的VPN只能满足少部分的移动办公需求，当人员组成复杂、人数持续增加的情况下，VPN已不再是最优解决方案。企业需要安全高效的移动办公解决方案。
数字化转型下的这些企业需求，对传统网络安全架构提出了挑战。SASE正是应对这些挑战的新时代网络安全模型。
SASE的四大关键特性
1、重云端轻分支
SASE模型最大特点就是重云端、轻分支，通过将安全、网络能力上移，让分支的建设负担减小，从而达到降低建设成本、运维压力的效果。理论上，SASE云端应该实现身份认证、防火墙、SSL卸载/加密、深度包检测、沙箱、数据防泄漏等安全能力，并且有广域网优化等网络能力，在地端，只有SD-WAN的CPE部署，具备基本的路由、ACL、NAT能力即可。SASE要告别的是过去企业网络安全葫芦串式的架构。
2、边缘云服务
SASE理论上不是提供一个SaaS服务节点，节点上堆好安全能力就让客户接入使用了，这样的传统SaaS服务模型会产生较大的延迟。SASE是边缘云服务，多节点、全球分布是其一大特征，用户可就近接入PoP节点，每个PoP节点提供相同的安全网络能力，在最优的流量路径上，同时拥有最好的安全防护。
3、身份驱动
SASE安全能力的关键在于访问控制，总体是以身份为核心，接入为控制。以零信任网络访问技术（ZTNA）为基底，SASE通过用户、设备和应用身份等上下文信息，决定网络互连体验（路由选择等）和访问权限级别（应用安全控制）。
4、云原生化
SASE利用云原生架构，实现了PoP点的弹性复制扩张、公有云适应性好、高性价比建设、业务迭代速度快等特点。云原生是其实现大规模扩张、盈利的关键技术。
困惑：SASE和SD-WAN是什么关系？
首先，SD-WAN是什么？SD-WAN即软件定义广域网，将SDN技术应用在了管理广域网络。粗暴的理解，他就是智能VPN，解决网络的连通问题，同时具备可编排、高效运维管理的特点。
许多数通厂商，把SD-WAN和SASE混为一谈，更有甚者把SASE 和SD-WAN还要做比较。这肯定是不合适的，因为SD-WAN充其量只是SASE的一个组成部分罢了。
我们已经了解SASE是融合了网络服务和安全服务，这其中网络服务就可以用SD-WAN为基础提供广域网优化等。而所谓的安全SD-WAN解决方案与SASE也有不同，安全SD-WAN
解决方案更多是在地端SD-WAN前加防火墙，或是在SD-WAN盒子上增加IPS、ACL等功能，其思路框架仍停留在重地端建设上。
