零信任落地防火墙干什么？华为可信接入代理替SDP守门

本文整理自华为官方发布的配置指导，命令与步骤均按原始文档呈现，供现场实施参考。

防火墙不用退场：转任可信接入代理，替SDP方案守住应用访问的执行点，用户能不能进应用，由代理在网关上实时校验。

防火墙在零信任里当什么角色？

聊零信任落地的常见误区，是把现有边界设备推倒重来。华为的SDP零信任方案给了一个更务实的角色安排：防火墙不退场，转任"可信接入代理"，和SDP控制器、零信任代理服务配合，替方案守住应用访问的执行点——用户能不能进应用，由代理在网关上实时校验。

全局模式在哪一页选？

在防火墙Web界面上，路径是"策略 > 零信任访问 > 零信任配置"。第一步在"全局配置"页签把可信工作模式选为"可信接入代理"，应用并在确认框里确定。

代理服务对接怎么配？

第二步在"零信任代理服务配置"页签对接零信任代理服务：填服务的地址和端口，导入服务的CA证书，设置未认证用户访问应用时被重定向去的认证页面地址，最后是服务异常时的处理动作——这里建议选"禁止"，选"允许"意味着鉴权请求处理异常时访问照放，存在安全风险。

变更通知和配套怎么补？

第三步配"变更通知服务"：SDP控制器的可信用户列表刷新、零信任代理服务上的用户令牌更新时，会向设备发送更新请求，设备同步更新本地的可信用户列表、令牌缓存或用户授权表。这一页要配侦听地址、端口、VPN实例和服务器证书，重点把"客户端证书校验"开启——启用它需要先配好用于校验客户端证书的CA证书，官方建议开启，关闭存在安全风险；顺手把"控制器连接状态检测"打开，控制器连接异常时的动作同样建议选禁止，失联时不放行。

两个可选配套：用户用HTTPS访问认证页面或业务应用时，设备还要配SSL卸载把加密流量卸成可解析的形态；应用访问的代理转发则通过代理网关或虚拟服务两种方式建应用层隧道。零信任不是推倒重来，而是给存量设备派新角色，手里的防火墙完全可以进场。

依据：华为官方典型配置案例（2026-11 版）。

零信任方案的设备侧落地、控制器对接联调，贵州诚鑫致达科技都有完整实施经验，欢迎搜索关注，获取更多零信任实操内容。