VPN ile ZTNA arasındaki temel fark nedir?
Fark, erişimin verildiği birimde başlar. VPN bir ağ segmentine erişim verir: tünel kurulduğunda kullanıcı o segmentteki her adresi görür, izin verilen her porta ulaşır. ZTNA ise erişimi tek tek uygulamalara böler: kullanıcı yalnızca politikanın açtığı uygulamayı görür, ağın adres alanı ona görünmez kalır.
İkinci fark güven modelidir. VPN'de güven bağlantı anında bir kez kurulur; kullanıcı doğrulandıktan sonra oturum boyunca aynı yetkiyle devam eder. ZTNA'da güven sürekli yeniden hesaplanır: kimlik, cihazın sağlığı, konum ve zaman gibi bağlam sinyalleri her istekte değerlendirilir, koşul değişince erişim de değişir.
Üçüncü fark saldırı yüzeyidir. VPN kapısı internete açık bir servistir ve ele geçirilen bir hesap, tünelin ardındaki her şeye ulaşır. ZTNA'da uygulamalar dışarıdan görünmez; bağlantı içeriden dışarıya kurulur ve ele geçirilen bir hesap yalnızca o hesabın yetkili olduğu uygulamayla sınırlı kalır.
VPN hangi durumlarda doğru araç olmaya devam eder?
VPN'in yeri, ağ düzeyinde erişimin gerçekten gerektiği yerlerdir. Şubeleri merkeze bağlayan site-to-site bağlantılar, sistem yöneticilerinin sunuculara ve ağ cihazlarına yönetim erişimi, uygulama düzeyinde tanımlanamayan eski protokoller ve OT (Operational Technology · operasyonel teknoloji) sistemlerine bakım erişimi bu gruba girer.
Bu senaryolarda VPN'i güçlü tutmanın yolu, tünelin ardındaki ağı segmentlere ayırmak ve VPN kullanıcılarını yalnızca ihtiyaç duydukları segmente düşürmektir. Çok faktörlü kimlik doğrulama, cihaz denetimi ve oturum kayıtları VPN tarafında da standart hâline gelir.
ZTNA ne zaman öne çıkar?
ZTNA, kullanıcıların uygulamalara eriştiği ve bu uygulamaların birden fazla yerde yaşadığı kurumlarda öne çıkar. Hibrit çalışan iş gücü, kurumsal ve kişisel cihazların bir arada kullanıldığı ortamlar, yüklenici ve tedarikçi gibi üçüncü taraf erişimi, SaaS ile veri merkezindeki uygulamaların karışık olduğu yapılar tipik örneklerdir.
Ortak nokta şudur: erişim isteyen kişi ve cihaz sayısı arttıkça ağ düzeyinde erişim vermenin riski büyür. ZTNA bu riski, her kullanıcıyı yalnızca işini yaptığı uygulamayla eşleyerek küçültür ve yatay hareketi uygulama sınırında durdurur.
| Eksen | VPN | ZTNA |
|---|---|---|
| Erişim birimi | Ağ segmenti; tünel ardındaki adres alanı | Tek tek uygulama; yetkili olan görünür |
| Güven modeli | Bağlantı anında bir kez doğrulama | Her oturumda kimlik, cihaz ve bağlam ile sürekli değerlendirme |
| Saldırı yüzeyi | İnternete açık VPN kapısı | Uygulamalar dışarıdan gizli; bağlantı içeriden dışarıya |
| Yatay hareket | Segmentasyon kalitesine bağlı | Uygulama sınırında durur |
| Cihaz duruşu | İstemci yeteneğine bağlı, çoğu kurulumda sınırlı | Politikanın parçası; duruş bozulunca erişim daralır |
| Kullanıcı deneyimi | İstemci ve tünel; tüm trafik tünelden | Tarayıcı ya da hafif ajan; uygulamaya doğrudan |
| Şube-şube bağlantı | Doğal alan | Kapsam dışı |
| Politika dili | IP, port ve segment tabanlı kurallar | Kimlik, grup ve uygulama tabanlı politikalar |
Geçiş nasıl planlanır?
Sağlıklı bir geçiş envanterle başlar. Hangi uygulamaların kim tarafından, hangi cihazlardan kullanıldığı çıkarılır; uygulamalar SaaS, veri merkezi ve eski sistem olarak gruplanır. Ardından kimlik altyapısı gözden geçirilir: merkezi kimlik sağlayıcı, çok faktörlü doğrulama ve grup yapısı ZTNA politikalarının temelidir.
- Pilot grup: Bir kullanıcı grubu ve iki üç uygulama ile başlanır; politikalar gerçek kullanımda doğrulanır.
- Kademeli genişleme: Uygulamalar gruplar hâlinde ZTNA'ya alınır; her adımda VPN tarafındaki ilgili erişim kapatılır.
- Daralan VPN: Kullanıcı erişimi ZTNA'ya taşındıkça VPN yalnızca şube ve sistem erişimine kalır; kapsamı küçülen VPN daha kolay denetlenir.
- Sürekli ölçüm: Reddedilen erişimler, cihaz duruşu bulguları ve politika istisnaları düzenli gözden geçirilir.
Sahada en sık gördüğümüz hata, ZTNA'yı VPN'in yeni sürümü gibi bire bir değiştirmeye çalışmak. ZTNA uygulama envanteri ve sağlam kimlik altyapısı ister; ikisi kurulduktan sonra başlayan projeler kalıcı oluyor. Önce kimlik ve envanter, sonra pilot uygulama grubu, ardından kademeli daralan VPN: bu sıra her seferinde işliyor.
Sıfır güven mimarisiyle ilişkisi nedir?
ZTNA, sıfır güven yaklaşımının uzak erişim tarafındaki uygulamasıdır: konum yerine kimlik ve cihaz duruşu belirleyicidir. Ağ tarafında aynı ilkeyi NAC ile erişim kontrolü taşır; ikisi birlikte, kullanıcının nereden bağlandığından bağımsız tek bir erişim politikası kurar. Sıfır güvene başlangıç adımlarını ilgili notta, bütünü ise Network Güvenliği çözümleri sayfasında ele alıyoruz.
