零信任服务混合部署模式是什么？
零信任混合部署模式是指企业将零信任网关以私有化形式部署在自有数据中心内，形成专属独享网关。该模式下仅认证、策略下发等流量经过天翼云，所有内网访问的业务数据流量均通过本地网关传输，既享受云管端的便捷管理，又实现了数据流的本地化闭环。当前SAAS模式通过天翼云SASE节点代理访问，而混合部署模式不经过天翼云，满足对数据有严苛要求的客户。
注意
当前零信任远程办公场景SAAS模式和混合部署模式只能选择一种，选择混合部署模式后，将不支持SAAS模式部分能力，若已经使用SAAS模式且需切换为混合部署模式，则需变更套餐版本，当前混合部署模式套餐版本不支持官网自助下单，如有需要，请联系客户经理下单，或提交工单反馈我们处理。
SAAS部署模式和混合部署模式架构差异
SAAS部署：
零信任中心saas化提供，零信任安全网关使用天翼云边缘节点，企业管理员登录控制台进行配置管理，只需要在其数据中心内部署连接器，企业员工下载客户端，即可以访问企业应用资源。
组件部署说明：
客户端：企业员工下载部署。
零信任中心：天翼云部署管理。
零信任网关：天翼云部署管理。
连接器：企业部署。
SAAS部署模式架构：
混合部署：
混合部署模式下，零信任中心saas化提供，零信任安全网关独立部署在客户机器，支持网关集群化部署，实现高可用以及稳定性提升。 连接器（可选）：若企业只有一个数据中心，则无需部署连接器，部署连接器能支持跨数据中心统一接入。
部署说明：
客户端：企业员工下载部署。
零信任安全中心：天翼云部署管理。
零信任网关：企业部署管理。
连接器：企业部署（按需，如有多数据中心场景进行部署）。
混合部署模式方案1：无需连接器场景
单数据中心仅部署零信任网关进行内部转发，建议部署至少2台进行主备。
混合部署模式方案2：使用连接器场景
零信任服务SaaS模式和混合部署模式对比
| 特性维度 | SAAS化部署模式（天翼云SASE节点部署网关） | 混合部署模式（独享网关） |
|---|---|---|
| 核心架构 | 使用天翼云共享的SASE全球节点作为网关。 | 客户本地私有化部署独享网关。 |
| 数据流路径 | 用户 -> 天翼云SASE节点 <-连接器（反向建连到网关） -> 内网应用。 | 1、未启用连接器： 独享网关直接访问到内网，无需安装连接器，适用于只有一个数据中心的场景。 数据流：用户 -> 独享网关（客户网络机器） -> 内网应用；
2、启用连接器场景： 连接器反向连接到独享网关，不同数据中心，通过连接器集群的关联应用功能，管理不同的网络数据中心访问内网的链路。 用户 -> 独享网关（客户网络机器）<- 连接器 -> 内网应用； |
| 控制流路径 | 经过天翼云（仅用于认证和策略下发）。 | 经过天翼云（仅用于认证和策略下发）。 |
| 数据流差异 | 数据面流量经过天翼云节点（数据加密、不同客户的网络空间严格隔离）。 | 数据面流量完全不经过天翼云，直达客户内网。 |
| 网络要求 | 客户侧无需暴露公网IP和端口对外开放，通过连接器反向代理，连接器需放行出口方向流量。 | 客户需为独享网关提供公网接入IP和端口开放，用于不同网络区域的客户端接入。 独享访问出方向流量需放行访问天翼云AOne中心的流量，用于对接AOne零信任中心获取配置和策略，作为控制面管理。 部署连接器场景，独享网关需放行连接器建连的流量。 |
| 时延性能 | 依托天翼云全球2800+节点，智能调度能力，保障不同区域接入天翼云节点的网络质量，整体接入效果更佳。 | 无天翼云SASE节点加速效果，时延根据客户提供的享网关节点链路和客户端接入距离有不同差异，若客户端接入地点和独享网关属于同区域同运营商，可达到本地本网直连的最佳效果。 |
| 流量带宽差异 | 企业经过天翼云网关访问的流量带宽需要计费（正常账号赠送带宽/流量足以满足企业办公需求）。 | 节省原本经过天翼云网关访问的流量带宽费用，适用于大流量大带宽近距离直连场景。 |
| 安全性与合规 | 依托天翼云高等级安全保障。 | 满足对数据不出域、金融场景、政务监管的合规要求。 |
| 运维成本 | 轻运维，天翼云负责网关运维、高可用和迭代更新。 | 客户需负责独享网关的运维、高可用、安全补丁等。 |
| 适用客户 | 适用于众多场景客户，使用天翼云安全、加速、连接能力。需要标准、快速交付、对远程安全性办公要求较高的企业 。 | 对数据面有极致要求的客户； 本地直连场景的客户，客户可提供公网接入点的设备，对本地时延敏感性极高的客户。 对大流量大带宽业务场景的客户，现有SAAS模式赠送流量带宽资源不足以满足业务需求，预算有限的客户。 |
SAAS模式和混合部署模式套餐版本差异
混合部署模式下，不支持使用天翼云SASE节点安全能力，如：不具备waf，抗D、全局离线AI分析、就近接入加速等能力，接入点由企业自行暴露。
混合部署模式支持VPN版、基础版、企业版，各版本能力和SAAS能力一致。
但部分功能在使用上存在差异：日志投递不支持使用内网通道传输，不支持开启无端访问能力。
独享网关安装步骤
需准备安装的机器：
服务器选型说明，需满足以下规格的软硬件的服务器、虚拟机、弹性云主机：
操作系统：请在 Centos 7.x（7.9以下）版本安装。目前在部分Centos 8.x，Centos 9.x的系统存在不兼容情况。
CPU：至少 2 核。
内存：至少 4 G。
CPU架构：支持X86、ARM64架构。
说明
独享网关安装后，将在机器上部署Docker组件，独享网关实际运行在容器环境中，若客户的操作系统为其他类型操作系统（指基于linux内核的其他操作系统），可在实际安装时，根据CPU架构选择不同的安装命令进行尝试安装。独享网关不适配WIndows类型操作系统。
网络配置要求：
可访问公网，如果存在防火墙且出入方向流量存在限制，则部署机器至少需放行或通过NAT方式开放以下端口流量：
出方向需放行访问零信任中心的流量：TCP协议，端口号443；UDP协议，端口号：53。
部署机需分配公网IP，且入方向需向客户端接入区域开放独享网关的VPN接入点，UDP协议，端口号：该端口号按控制台页面提示的端口号。
使用命令安装：
请登录边缘安全加速服务平台控制台，选择AOne零信任服务工作台，进入工作台，网络-》独享网关菜单，点击新增独享网关，复制安装命令，进行一键部署安装。
安装完成后，可在独享网关管理页面查看网关设备连通状态。
