Cloudflare One是什么，提供什么功能?

Cloudflare One 是 Cloudflare 推出的云原生 SASE（安全访问服务边缘）平台。 它将企业网络连接服务（NaaS）与零信任安全服务（SSE）整合在同一个全球边缘网络中。 [1, 2]
简单来说，它的核心逻辑是：用 Cloudflare 遍布全球 300 多个城市的底层网络，替代掉企业传统的物理防火墙、MPLS 专线和传统 VPN，并为员工提供全方位的上网与内网访问安全防护。 [3, 4, 5]

1. 零信任网络访问 (ZTNA) —— 替代 VPN 与内网接入

对应组件名为 Cloudflare Access。 [4, 6]

• 无客户端/有客户端双模式：对于紧急割接，可在内网服务器一键运行 Cloudflare Tunnel（轻量级隧道），直接将内网 Web 系统（如 OA、Git、Jira）映射到云端。员工无需安装任何客户端，在浏览器里通过企业 SSO（飞书、Okta、Azure AD 等）验证身份即可安全访问。
• 持续身份验证：基于“身份+设备状态+地理位置”进行颗粒度极细的鉴权。即使员工在访问中途更换了网络或设备异常，访问权限会瞬间被掐断。 [7, 8, 9, 10, 11]

2. 安全 Web 网关 (SWG) —— 满足您的 URL 白名单/上网行为管理需求

对应组件名为 Cloudflare Gateway。 [4, 6]

• DNS 与 HTTP/HTTPS 级别过滤：完美满足您提及的 URL 白名单 刚需。可以通过配置策略，强制只允许终端访问白名单内的域名或特定 URL，并直接在云端边缘进行全流量审计与恶意网站拦截。 [1, 3, 12]
• 后量子加密（PQ）支持：作为 2026 年最新的安全升级，其 SWG 平台已全面支持后量子加密标准，可防御面向未来的新型网络监听与解密威胁。 [13]

3. 数据防泄漏 (DLP) —— 云端数据外发审计

对应组件名为 Cloudflare DLP。 [1, 2]

• 网络与 SaaS 层的敏感数据阻断：实时检测通过网络外发、上传的数据。例如：可以阻断员工在公有云网盘、外网 Git、甚至 ChatGPT 等 AI 工具中输入包含公司源代码、身份证号、银行卡号或自定义关键字的敏感行为。 [1, 9]

4. 远程浏览器隔离 (RBI) —— 终极网页防毒

对应组件名为 Browser Isolation。 [1, 3]

• 云端渲染浏览：当员工必须访问未知或高风险网站时，网站代码完全在 Cloudflare 的云端虚拟机中运行，只将安全的“像素画面”传回员工电脑。这能从根本上免疫任何针对员工浏览器的漏洞利用或挂马攻击。 [3, 12]

5. 云访问安全代理 (CASB) —— SaaS 资产盘点

对应组件名为 Cloudflare CASB。 [1, 2]

• 检测配置疏漏：自动扫描企业正在使用的 M365、Google Workspace、GitHub 等企业 SaaS 软件，揪出哪些文件被员工错误地设置成了“公开可见”，防止因配置疏忽导致的重大数据泄露。 [1]

6. 基础设备姿态检查 (轻量 NAC 替代)

对应组件名为 Device Posture。 [7, 14]

• 合规性校验：配合其终端 Agent（Cloudflare WARP），可以读取员工电脑的系统状态（例如：是否启用了磁盘加密、是否安装了特定证书、防火墙是否开启）。如果不满足合规指标，直接拒绝其通过 ZTNA 访问公司内网。 [7, 8, 14]

cloudflare vs 亿格云枢

如果用 Cloudflare One 承接原亿格云枢的业务，架构将从“重终端”转变为“轻终端、重云端”：

1. 网络速度提升：由于 Cloudflare 拥有全球最大的 Anycast 网络之一，其 DNS 过滤和流量转发几乎没有延迟，员工日常上网的卡顿感会明显减轻。 [6]
2. 需要补齐的功能真空：Cloudflare One 不提供诸如“禁止插 U 盘”、“本地屏幕加水印”、“静默下发杀毒软件”等纯终端桌面管理功能。这些缺失的终端控制，需要您用 Windows 组策略（GPO）或本地轻量 EDR 软件来共同配合完成。

Anycast 网络是什么意思

Anycast 是一种网络寻址方式：多个地点公告同一个 IP 地址，用户的数据包会被路由到“网络距离最近”的那一台，而不是固定发到某一台服务器。

和常见寻址方式的区别

方式	一个地址对应什么	数据包去哪
Unicast	一台主机	固定那一台
Broadcast	一个网段里的所有主机	全部都收到
Multicast	加入该组的主机	组内成员都收到
Anycast	多台主机共用同一地址	路由选出的“最近”一台

“最近”不是地理直线距离，而是路由协议（通常是 BGP）算出来的路径更短、优先级更高的那个节点。

它怎么工作

运营商或 CDN 在世界各地放很多节点，每个节点都用 BGP 向互联网宣告同一个 IP 前缀，例如 1.1.1.1/32。

你的电脑解析出这个地址后，数据包按正常路由转发。沿途的路由器只看“这条前缀从哪条路径学来更优”，于是流量自然落到离你当前网络位置最近的那个节点。你不需要选机房，应用层通常也看不出自己连的是哪一台。

如果某个节点宕机或撤销宣告，路由会收敛到下一个可用节点，这就是 Anycast 常被用来做容灾的原因。

为什么常用

• DNS：1.1.1.1、8.8.8.8 都是 Anycast，全球很多机器共用同一地址。
• CDN 和反向代理：Cloudflare 的边缘节点就是用 Anycast 接流量，用户就近进入其网络，再由内部网络转到源站。
• 抗 DDoS：攻击流量被分散到离各个攻击源最近的节点，而不是全部打到同一台机器。

限制也很明确：它适合无状态或可在任意节点独立处理的服务。带长连接、强会话状态的服务如果中途路由切换，可能断连，所以通常要配合会话保持、连接迁移，或只把 Anycast 用在入口、后面再转到固定后端。

zscaler是什么

Zscaler（纳斯达克代码：ZS）是一家美国云安全公司，总部在加州圣何塞。它的核心产品是云端交付的零信任安全平台，用来替代传统防火墙、代理和 VPN。

公司由 Jay Chaudhry 和 K. Kailash 于 2007 年创立（前身为 SafeChannel），2018 年上市。官方把自己定位成面向 AI 时代的网络安全平台，主张“互联网就是新的企业网络，云就是新的数据中心”。全球客户约 1.1 万家，其中包含不少《福布斯》全球 2000 强企业。

它解决什么问题

传统做法是把流量先拉回公司数据中心，再用防火墙或 VPN 检查。远程办公、SaaS 和多云普及后，这种“先入网再访问”的模式又慢又不安全：VPN 一旦接通，用户往往能在内网横向移动。

Zscaler 的做法相反：流量不进企业内网，而是就近进入它的全球安全云（Zero Trust Exchange，200 多个公有数据中心）。每次连接都按身份、设备状态和策略做最小权限校验，只把用户连到被授权的应用，而不是整张网络。

主要产品

• Zscaler Internet Access（ZIA）：安全访问互联网和 SaaS，相当于云端安全 Web 网关（SWG），可检查加密流量、拦截威胁、做数据防泄漏。
• Zscaler Private Access（ZPA）：安全访问内网或私有应用，用来替代 VPN。
• Zero Trust SASE / SSE：把网络与安全合在云上交付。Gartner 在安全服务边缘（SSE）领域长期把它列为领导者。
• 其他能力还包括数字体验监测（ZDX）、工作负载保护、数据安全，以及近年扩展的 AI 应用与 AI 代理通信防护。

公司称平台每天检查约 7500 亿笔以上交易。它不是杀毒软件，也不是装在机房里的硬件防火墙，而是一套按用户和流量订阅的云安全服务。

那这些产品满足ZTNA,DLP，NAC吗

ZTNA 和 DLP 能覆盖，传统 NAC 不能直接替代。

ZTNA：满足。 对应产品是 Zscaler Private Access（ZPA）。用户不接入整张内网，而是经 Zero Trust Exchange 按身份、设备状态和策略，只连到被授权的私有应用。这就是用来替换 VPN 的零信任网络访问。浏览器无客户端访问也属于这条产品线，但无客户端时通常做不了设备状态检查。

DLP：满足。 Zscaler 有统一数据防泄漏，覆盖范围包括：

• 上网和 SaaS 流量的 inline DLP（在 ZIA 里）
• 私有应用流量的 DLP（可和 ZPA 结合）
• 终端 DLP（经 Client Connector，管 U 盘、打印、网络共享、个人云盘上传）
• 邮件、SaaS 和部分公有云数据

策略可以集中配，引擎有预置和自定义。它是 SSE 里的数据安全能力，不是单独的硬件 DLP 盒子。

NAC：不满足。 传统 NAC（如 Cisco ISE、Aruba ClearPass）管的是园区网准入：802.1X、交换机端口、无线 AP、RADIUS、VLAN 或 ACL，决定设备能不能上局域网。Zscaler 没有这个产品。

它有的是设备状态检查（Device Posture）：证书、域加入、磁盘加密、操作系统版本、防火墙、EDR 分数等，用来决定能不能走 ZIA/ZPA。这只约束“能不能访问应用”，不管“能不能插上网线或连上公司 Wi-Fi”。打印机、摄像头、IoT 这类不能装客户端的设备，仍要靠 NAC 或网络分段。

实际部署通常是：园区有线/无线继续用 NAC，远程和私有应用用 ZPA，上网和数据外泄用 ZIA 加 DLP。三者互补，不是同一套产品全包。

palo alto有ZTNA吗

有。Palo Alto 的 ZTNA 做在 Prisma Access 里，不单独叫一个产品名，核心组件是 ZTNA Connector。

它的做法和 Zscaler ZPA 同类：在应用侧放一台虚拟机 Connector，由它向外连到 Prisma Access，应用不必暴露公网端口。用户（远程或分支）只按身份、应用和设备被允许访问指定私有应用，默认拒绝。策略用的是 Palo Alto 的 User-ID、App-ID、Device-ID。

许可上，Prisma Access Base（ZTNA 或 Enterprise）含 10 个 Connector；私有应用访问加购最多到 200 个。从 Prisma Access 5.0 起支持该功能；6.1.1 还可以把现有 Palo Alto 下一代防火墙当作 NGFW Connector 用。

和 Zscaler 的差别主要是形态：ZPA 是独立 ZTNA 云服务；Palo Alto 把它放在 SASE 平台里，常和上网安全、分支接入一起卖。已有防火墙和 Panorama 的客户，续到 Prisma Access 通常更顺。

ZTNA Connector多少钱

ZTNA Connector 不单独按台卖，包含在 Prisma Access 的用户许可里。官网没有标价，英国 G-Cloud 15 上合作伙伴备案的目录价（每人每年）是：

许可	目录价	含多少 Connector
Prisma Access ZTNA（只做私有应用）	$120	5 个 Service Connection + 10 个 ZTNA Connector
Prisma Access Enterprise（上网 + 私有应用）	$175	同样 10 个 Connector
Private App Access 加购	另计，公开目录未单列单价	最多约 200 个 Connector

只买上网安全（SWG，约 $110/人/年）不含私有应用，也就没有 Connector。

实际计费按移动用户数，不是按 Connector 台数。基础许可带 10 台，用来试部署通常够；应用多、机房多才需要加购。Connector 虚拟机的 CPU、内存和带宽自己出，软件隧道含在订阅里。

成交价一般低于目录价，人数多、签 3 年、已有防火墙续约时更明显。中国区走 400 991 1194 或合作伙伴询价，和 Zscaler ZPA Platform 的公开目录价（约 $120/人/年）几乎同一档。