Apa Bedanya VPN dan Zero Trust Network Access?

Staf admin gudang perlu membuka aplikasi stok dari rumah. Selama ini caranya mudah: sambungkan VPN kantor, lalu buka alamat IP server. Tapi begitu VPN tersambung, laptop yang sama juga bisa menjangkau server keuangan, NAS berisi arsip, sampai panel router. Padahal yang ia butuhkan hanya satu aplikasi.

Di situlah perbedaan VPN dan Zero Trust Network Access (ZTNA) paling terasa. VPN memberi akses ke jaringan, ZTNA memberi akses ke aplikasi. Keduanya sama-sama mengenkripsi koneksi, tapi cara memutuskan siapa boleh melihat apa sangat berbeda.

Cara kerja VPN tradisional

VPN membuat terowongan terenkripsi dari perangkat pengguna ke gateway kantor atau server. Setelah terowongan terbentuk, perangkat itu diperlakukan seolah-olah berada di jaringan lokal. Ia mendapat alamat IP internal dan bisa menjangkau sistem apa pun yang tidak diblokir firewall.

Model ini sederhana dan sudah lama teruji. Protokolnya beragam, dari WireGuard yang ringan sampai L2TP dan SSTP yang banyak didukung perangkat lama. Perbandingan protokolnya ada di WireGuard vs L2TP vs SSTP.

Kelemahannya ada pada asumsi kepercayaan. Kalau kredensial VPN bocor, penyerang masuk ke jaringan dengan cakupan yang sama seperti staf asli. Membatasi akses per pengguna di VPN tetap bisa dilakukan lewat aturan firewall, tapi biasanya manual dan mudah tertinggal ketika aplikasi atau staf bertambah.

Cara kerja ZTNA

ZTNA berangkat dari prinsip zero trust yang dirumuskan, antara lain, dalam NIST SP 800-207: fokus perlindungan bergeser dari batas jaringan ke pengguna, aset, dan sumber daya. Setiap permintaan ke aplikasi diperiksa terhadap kebijakan, tidak cukup hanya "sudah tersambung".

Dua contoh berikut menunjukkan bahwa bentuk ZTNA bisa cukup berbeda.

Gateway berbasis identitas, contohnya Cloudflare Access. Menurut dokumentasi Cloudflare, Access menilai setiap permintaan ke aplikasi berdasarkan kebijakan yang menggabungkan tindakan (Allow, Block, Bypass, Service Auth) dengan pemilih seperti email, grup di penyedia identitas, negara, atau kondisi perangkat. Dokumentasinya menegaskan bahwa Access bersifat deny by default: pengguna yang tidak cocok dengan kebijakan Allow tidak bisa masuk. Aplikasi internal dihubungkan lewat Cloudflare Tunnel, sehingga server tidak perlu membuka port ke internet.

Jaringan mesh dengan aturan akses, contohnya Tailscale. Tailscale membangun jaringan privat (disebut tailnet) di atas protokol WireGuard, dengan koneksi langsung antarperangkat bila memungkinkan. Akses dibatasi lewat kebijakan akses (access control policy) yang mengatur perangkat atau pengguna mana boleh terhubung ke layanan mana. Secara teknis ini masih mirip VPN, tapi kebijakannya berbasis identitas dan per layanan, bukan "semua yang ada di subnet".

Dua pendekatan ini bukan satu-satunya. Banyak vendor lain menawarkan ZTNA, dan beberapa VPN modern juga menambahkan aturan akses per aplikasi.

Perbandingan VPN dan ZTNA

Harga di atas diambil dari halaman harga resmi Cloudflare dan Tailscale per 4 November 2026. Perhatikan bahwa FAQ Tailscale menyebut paket Personal hanya untuk penggunaan nonkomersial, jadi untuk bisnis hitunglah dari paket berbayar. Isi tiap paket (batas log, fitur kondisi perangkat, dukungan) juga berbeda, jadi baca halaman resminya sebelum memutuskan.

Memilih berdasarkan kebutuhan, bukan label

VPN masih pilihan yang masuk akal bila kamu butuh akses jaringan penuh: mengakses file share Windows, printer kantor, perangkat lama yang tidak berbasis web, atau menghubungkan dua kantor (site-to-site). VPN juga cocok bila kamu ingin semuanya berjalan di server sendiri tanpa bergantung pada platform pihak ketiga. Untuk kebutuhan IP tetap, misalnya agar server mitra hanya menerima koneksi dari alamat tertentu, VPN dengan IP statik adalah jalur yang lazim, seperti dibahas di VPN IP statik.

ZTNA lebih rapi bila yang diakses adalah aplikasi web internal, panel admin, atau SSH ke beberapa server, dan staf bekerja dari banyak lokasi. Pencabutan akses juga lebih sederhana: nonaktifkan akun di penyedia identitas, maka semua akses aplikasinya ikut tertutup.

Dalam praktik, banyak bisnis memakai keduanya. VPN untuk koneksi antarkantor dan perangkat lama, ZTNA untuk staf yang membuka aplikasi internal. Yang penting bukan memilih kubu, tapi memastikan tidak ada akun yang punya akses lebih luas dari pekerjaannya. Prinsip dasarnya dibahas di zero trust untuk UKM.

Hal yang sering terlupa saat migrasi

Migrasi dari VPN ke ZTNA sebaiknya bertahap. Mulailah dari satu aplikasi yang paling sering dipakai, pindahkan aksesnya ke ZTNA, lalu pantau beberapa minggu sebelum menutup jalur VPN lama untuk aplikasi itu.

Inventaris aplikasi dan pemiliknya adalah syarat awal. Tanpa daftar itu, kebijakan akses akan disusun berdasarkan tebakan. Pastikan juga MFA aktif di penyedia identitas, karena ZTNA hanya sekuat akun yang dipakai untuk login.

Jangan lupakan akun mesin. Skrip backup, integrasi, atau server yang saling memanggil API juga butuh jalur akses. Cloudflare Access, misalnya, punya tindakan Service Auth untuk kebutuhan seperti ini, sementara di Tailscale perangkat server biasanya diberi tag dengan aturan akses tersendiri.

Ringkasan

VPN menjawab pertanyaan "bagaimana perangkat ini masuk ke jaringan kantor", sedangkan ZTNA menjawab "apakah orang ini, di perangkat ini, boleh membuka aplikasi ini sekarang". Untuk akses jaringan penuh dan perangkat lama, VPN tetap relevan. Untuk aplikasi internal dan tim yang tersebar, ZTNA membatasi dampak kebocoran kredensial dengan lebih baik, dan keduanya bisa berjalan berdampingan.