H3C SecPath L1050 是否支持零信任功能

一、先理清产品定位

重要区分两个概念（售前极易混淆）

1. 完整商用零信任 SDP（客户招标常要求的零信任）

   包含：SPA 单包敲门、应用隐身、iNode 客户端接入、终端安全评估、持续信任评估、动态细粒度权限、SDP 控制器 + 网关架构。

   ✅ 支持设备：F1000-AI、F5000-AI、M9000-AI-E 新一代 AI 防火墙

   ❌ L1050（ADDC 负载均衡）不在支持列表，没有 SDP 网关能力，无法对接 SDP 可信控制器，不存在对应零信任配置手册。
2. 广义 “基于身份的访问控制”≠零信任 SDP

   L1050 支持 SSL 卸载、证书认证、HTTP 头身份传递、URI 访问控制；

   这类只是七层应用访问控制，不能等同于招标要求的零信任 SDP 方案，无法满足等保 / 测评零信任接入指标（无应用隐身、无 SPA 敲门、无终端环境检测）。

二、核心问答

1、能不能实现标准零信任远程接入（外网员工安全访问内网业务系统）？

不要混淆：ADDC 的 SSL 虚拟服务器 ≠ 零信任 SDP。单纯 HTTPS 反向代理只能做基础 Web 门户，缺少零信任核心能力。

2、有官方零信任配置手册吗？

三、两种替代方案参考

方案 A（标准零信任方案，推荐）

方案 B（轻量化 Web 反向代理，仅临时过渡，达不到零信任标准）

风险提示：该方案只是七层访问管控，无法满足项目 “零信任” 指标要求，测评大概率不认可。

四、常见误区澄清

1. ❌ 误区：只要有 SSL、证书认证就是零信任
   ✅ 零信任 SDP 核心特征：默认拒绝、资源隐身、SPA 敲门、终端持续评估、最小权限动态调整，L1050 缺失核心组件。
2. ❌ 误区：升级最新固件就能支持 SDP
   硬件平台架构限制，L1000 系列 ADDC 全系列都不会迭代 SDP 零信任功能。

极简总结

1. SecPath L1050（应用交付负载均衡）不支持 H3C 标准 SDP 零信任接入方案；无配套零信任配置手册。
2. 仅具备七层 SSL 反向代理、证书认证能力，属于基础应用访问控制，不能满足招标 / 等保意义上的零信任需求。
3. 如果项目明确要求零信任 SDP，需要更换为 F1000-AI/F5000-AI 系列 AI 防火墙。