SPIFFE 是 CNCF 的毕业项目，Kubernetes 生态里管身份认证的事实标准。但它最初设计时面对的是云原生工作负载——K8s Pod、VM、Serverless 函数-23。
没人想过用它来管一个 Modbus 传感器的身份。
但我做了。
问题：一个工厂 5000 台设备，每台都是一个潜在的后门 传统 IoT 设备靠 IP/MAC 地址识别身份。这意味着什么？任何知道设备 IP 的人，插上网线就能冒充设备往 SCADA 系统发数据。
我们做 IoT-ZTNA 网关的核心命题就一句话：
你的网关能采 22 种协议，但你怎么知道连上来的设备是真的？
方案：三级设备接入，一套身份框架 SPIFFE 的核心思想是：每个工作负载都有一个密码学身份（SVID），短期有效，自动轮换，不需要共享密钥-23。
但问题来了——SPIFFE 的参考实现 SPIRE，Agent 跑起来要 20MB 内存。树莓派跑得动，STM32 跑不动，ESP32 更跑不动。
我们的解决方案是三级接入：
A 级（ARM Linux，如树莓派/工控机） ：直接跑完整 SPIRE Agent，SVID 有效期 7 天，TPM 2.0 做信任根，设备自主续期。
B 级（Cortex-M，如 STM32/NXP） ：跑不动完整 Agent，改用 wolfSSL 轻量 mTLS SDK（约 200KB Flash），网关代理签发 SVID，证书 30 天轮换。
C 级（ESP32/NB-IoT 模组） ：设备出厂预置证书，网关验证后签发短期会话凭证，设备侧完全不实现续期逻辑，内存占用控制在 20KB 以内。
三层设备统一在同一个信任域下，SPIFFE ID 格式统一：
spiffe://iot-ztna.acme.com/device/SN-A001-2026 落地效果 在一个电力 SCADA 的 POC 里，我们部署了 200 台设备——30 台 A 级 ARM 工控机、100 台 B 级 PLC、70 台 C 级传感器。全部设备统一 mTLS 接入，网关每秒处理约 3000 次策略决策，P99 延迟 8ms。
非法设备接入的拦截率 100%。模拟测试中，用伪造 IP/MAC 的设备尝试连接，直接被网关在 eBPF 层丢弃，SCADA 系统连握手的影子都没看到。
开源了 IoT-ZTNA 网关的核心引擎已经开源（Apache 2.0），支持 Docker 一键部署和离线安装包。
GitHub：suoten/IoT-ZTNA
Gitee：suoten/iot-ztna
如果你是做工业 IoT 安全的，欢迎来聊聊。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/70050062/viewspace-3185165/ ，如需转载，请注明出处，否则将追究法律责任。
