先列出要访问的应用
记录应用位置、协议、使用人群和终端类型。区分员工办公、第三方维护与无人值守设备，确认哪些需要整个网络可达、哪些只需要指定应用。
身份之外还要看终端
Fortinet 的 ZTNA 架构将应用访问控制、用户身份和终端状态结合起来；FortiOS 与 FortiClient 分担不同职责。具体能力受部署模式、客户端和版本约束。
明确策略和例外
为应用定义允许的用户组、终端条件和访问路径。无法安装客户端的设备应单独评估，不能把通用 ZTNA 介绍当成全部终端都支持的证明。
设计失效后的行为
建议验证身份失效、终端状态变化、链路中断和应用迁移时的表现，保留应急管理路径。访问失败应能定位到身份、策略、网络或应用层。
试点输出
交付应用清单、身份组映射、例外策略与验证记录。VPN 与 ZTNA 解决的问题有重叠，但不能只更换名称就完成架构迁移。
资料来源
资料核对：