Octelium：把零信任访问、网关与自托管部署放在同一平台

项目定位

Octelium 是一个自托管的统一零信任安全访问平台。官方 README 将它定位为远程访问 VPN、ZTNA/BeyondCorp 平台、反向隧道与 API 网关，同时也覆盖 AI/LLM、MCP、容器应用部署、Kubernetes 入口和家庭实验室等场景。它适合希望把身份认证、应用层访问控制和内部资源接入集中管理的团队，也适合需要远程访问家中或实验环境服务的个人用户。

已知功能

项目同时提供基于客户端的访问和无客户端访问。前者通过 WireGuard/QUIC 隧道连接，后者面向浏览器或其他公开入口。README 强调其在应用层（L7）识别请求，并可针对内部资源、NAT 后服务以及受保护的公开资源执行按请求的访问控制。

策略方面，Octelium 描述了基于 CEL 与 OPA 的策略即代码能力，支持属性、身份和上下文相关的细粒度控制。项目还宣称支持动态配置与路由，可根据请求选择不同上游或凭据上下文。对于 HTTP API、SSH、Kubernetes、PostgreSQL/MySQL 以及 mTLS 保护的 L7 协议，README 列出了动态无密钥访问场景；这些能力的实际适用范围仍应结合具体协议和部署文档验证。

身份能力包括 OIDC、SAML 2.0 和 GitHub OAuth2 等 Web 身份提供商，以及面向工作负载的 OIDC 断言。README 还列出 FIDO2/WebAuthn/Passkey、TOTP 和 TPM 2.0 认证器。可观测性方面，项目称会记录请求并导出到 OpenTelemetry OTLP 接收器，便于接入日志和 SIEM 系统。

v0.45.0 的正式发布说明提到客户端从主机休眠恢复后的连接检测与重连、Linux split DNS 改进、连接地址清理，以及 APIServer 和 Envoy ingress 的若干可靠性改进。这些内容说明该版本关注运行稳定性，但不等同于对所有环境的兼容性保证。

采用前的限制与部署考虑

Octelium 的覆盖面较大，部署者需要先明确目标：是替代远程访问 VPN、保护 API，还是承载家庭实验室和容器应用。不同目标会牵涉身份提供商、DNS、证书、网络入口、上游服务和策略设计，不能仅凭项目描述判断落地复杂度。官方资料没有在本组来源中确认最低硬件配置、完整兼容性矩阵或性能数据，因此不应据此规划容量。

它以 Kubernetes 为基础架构的一部分进行描述，采用者应预留集群运维、持久化、升级、备份和日志接收器等工作。零信任和无密钥访问也不会自动消除策略错误、身份提供商故障或上游权限过大的风险，策略、凭据映射和审计数据仍需独立评审。

许可证信息需要特别核对：仓库元数据标为 AGPL-3.0，而 README 与项目页面同时显示 AGPL-3.0 和 Apache-2.0。本文来源没有逐组件解释适用范围；若要将其嵌入产品或提供网络服务，应在采用前检查仓库中的许可证文件及相关组件条款。

资料来源

• GitHub repository metadata
• Project README
• Official release
• Official project page

资料核对日期：2026-10-18