Zum Hauptinhalt springen

Erste Schritte

Dieser Leitfaden erklärt den initialen ZTXGate-Bereitstellungsablauf auf Produktebene. Releasespezifische Installationsbefehle und exakte Prompts des Setup-Skripts werden bewusst nicht beschrieben.

Systemanforderungen​

ZTXGate ist für eine schlanke Single-Node-Bereitstellung ausgelegt.

AnforderungMindestwert / unterstützte Basis
BetriebssystemUbuntu 24 oder neuer
CPUMindestens 2 CPU-Kerne
ArbeitsspeicherMindestens 2 GB RAM
BereitstellungsmodellSingle Node
SoftwarepaketEin ZTXGate-Debian-Paket (.deb)

Die Mindestwerte für CPU und Arbeitsspeicher sind ein Ausgangspunkt. Für die Produktionsdimensionierung sollten gleichzeitige Benutzer, Verkehrsvolumen, Nutzung des clientlosen Proxys, Integrationen und Logging-Anforderungen berücksichtigt werden.

Vor dem Start​

Planen Sie vor der Installation die grundlegenden Bereitstellungsinformationen, die der Setup-Prozess benötigt, darunter:

  • FQDNs und/oder IP-Adressen, die die Bereitstellung identifizieren;
  • die für Ihre Umgebung geeigneten Listener-Ports;
  • die Zertifikate für produktives TLS; und
  • Netzwerk-Erreichbarkeit für die vorgesehenen Zugriffsmethoden und externen Integrationen.

Verwalteter Endgerätezugriff verwendet WireGuard-basierte Konnektivität; der Netzwerkpfad muss daher den konfigurierten WireGuard-Verkehr zulassen. Externe Dienste wie Identity Provider, MDM/EDR-Plattformen, SMTP-Relays oder andere Cloud-Integrationen müssen ebenfalls erreichbar sein, wenn sie aktiviert werden.

Optionale Lizenzdatei beim Bootstrap​

Wenn Sie bereits eine ZTXGate-Lizenzdatei besitzen, kann sie vor Installation oder initialem Setup in /tmp abgelegt werden. Sowohl die Debian-Paketinstallation als auch das Setup-Skript können eine Lizenzdatei an diesem Ort übernehmen.

Für spätere Lizenzänderungen müssen Sie /tmp nicht verwenden. Nachfolgende Lizenzupdates werden im Admin Portal durchgeführt.

1. ZTXGate-Paket installieren​

Installieren Sie das bereitgestellte ZTXGate-.deb-Paket auf dem vorbereiteten Ubuntu-Host.

Das Paket enthält die für die Single-Node-Bereitstellung erforderlichen ZTXGate-Komponenten. Zu diesem Zeitpunkt ist die Software installiert, die bereitstellungsspezifischen Netzwerk- und Zertifikatseinstellungen müssen jedoch noch initialisiert werden.

2. Initiales Setup-Skript ausführen​

Führen Sie nach erfolgreicher Paketinstallation das ZTXGate-Setup-Skript aus.

Das Setup-Skript führt die grundlegende Bootstrap-Konfiguration durch, darunter Einstellungen wie:

  • FQDNs und IP-Adressen;
  • Listener-Ports;
  • Zertifikate; und
  • zugehörige Netzwerkparameter der Bereitstellung.

In dieser Phase erstellt ZTXGate außerdem die WireGuard-Konfiguration und die Zugangsdaten für den Bootstrap-Administrator.

Schützen Sie die Zugangsdaten des Bootstrap-Administrators, da sie den initialen administrativen Zugriff ermöglichen, der für die weitere Konfiguration im Portal erforderlich ist.

3. Im Admin Portal anmelden​

Melden Sie sich mit den während des Setups erzeugten Zugangsdaten des Bootstrap-Administrators am ZTXGate Admin Portal an.

Ab diesem Punkt erfolgt der größte Teil der Sicherheits- und Betriebskonfiguration im Portal und nicht mehr im Low-Level-Setup-Skript.

4. High-Level-Konfiguration abschließen​

Konfigurieren Sie die für Ihre Umgebung benötigten Integrationen und Dienste. Je nach Bereitstellung kann dies Folgendes umfassen:

  • Authentikatoren und zusätzliche Verifizierungsmethoden;
  • SMTP für Workflows, die E-Mail versenden;
  • OIDC für Authentifizierung und Single Sign-On;
  • SCIM für Benutzerbereitstellung und Identity-Lifecycle-Synchronisierung;
  • SSF für gemeinsam genutzte Sicherheitssignale;
  • MDM/EDR-Integrationen für Geräte-Posture; und
  • Lizenzupdates.

Für eine erste Evaluierung müssen Sie nicht jede Integration aktivieren. Beginnen Sie mit den Fähigkeiten, die für den zu testenden Zugriffspfad erforderlich sind, und ergänzen Sie Integrationen schrittweise.

5. Ersten Benutzer erstellen oder synchronisieren​

Richten Sie die Identität ein, die für den ersten Zugriffstest verwendet wird.

Je nach Konfiguration können Benutzer über den passenden administrativen Workflow erstellt oder über die konfigurierte Identity-Lifecycle-Integration synchronisiert werden.

Konfigurieren Sie bei normalen E-Mail-basierten Registrierungsworkflows SMTP, bevor Sie ein Enrollment-Token ausstellen.

6. Erstes Gerät registrieren​

Erstellen Sie ein Enrollment-Token für den Benutzer und schließen Sie die Registrierung auf dem Endgerät ab.

Bei verwaltetem Zugriff ordnet die Registrierung das Endgerät dem Benutzer zu und bereitet es auf WireGuard-basierte Konnektivität über ZTXGate vor. Das Gerät kann anschließend als eigenständiger Bestandteil der Zugriffsrichtlinie bewertet werden.

7. Erste geschützte Ressource definieren​

Erstellen Sie eine Ressource für die Anwendung, den Host oder den Dienst, den Sie schützen möchten.

Wählen Sie für den ersten Test eine eng begrenzte Ressource, deren Konnektivität und erwartetes Protokoll leicht zu prüfen sind. So lassen sich Richtlinienprobleme besser von normalen Netzwerk- oder Anwendungsproblemen unterscheiden.

8. Erste Zugriffsrichtlinie erstellen​

Erstellen Sie eine Richtlinie, die den Testbenutzer und das registrierte Gerät für die Ressource autorisiert.

Eine einfache erste Richtlinie ist meist sinnvoller als ein Start mit vielen Bedingungen. Nachdem der Grundpfad funktioniert, können Sie Posture-, Zeit-, Netzwerkstandort-, temporäre Zugriffs- oder zusätzliche Authentifizierungsanforderungen ergänzen.

Verwenden Sie, wo sinnvoll, den integrierten Policy-Simulator, um die beabsichtigte (Benutzer, Gerät, Ressource)-Entscheidung zu prüfen, bevor Sie sich in Produktion auf die Richtlinie verlassen.

9. Erste Verbindung validieren​

Stellen Sie die Verbindung vom registrierten Endgerät her und prüfen Sie, dass die autorisierte Ressource über ZTXGate erreichbar ist.

Prüfen Sie anschließend die relevanten Zugriffs-, Authentifizierungs- und Richtlinienaufzeichnungen im Portal. Damit bestätigen Sie nicht nur die Konnektivität, sondern auch, dass ZTXGate die erwartete Zugriffsentscheidung trifft und protokolliert.

Clientlosen HTTP/HTTPS-Zugriff evaluieren​

Wenn Ihre Bereitstellung die lizenzierte Clientless-Access-Funktion enthält, können HTTP/HTTPS-Anwendungen über den browserbasierten Proxy-Pfad statt über den verwalteten WireGuard-Endgerätepfad evaluiert werden.

Ressourcen- und Richtlinienkonzepte bleiben gleich; für diesen clientlosen Webzugriff muss auf dem Endgerät jedoch kein WireGuard installiert sein.

Air-Gapped-Bereitstellungen​

Dieselben grundlegenden Bereitstellungsphasen gelten in isolierten Umgebungen. Beachten Sie, dass Integrationen mit externen Identity-, MDM-, EDR-, SIEM-, SMTP- oder Cloud-Authentifizierungsdiensten deren Erreichbarkeit voraussetzen.

Eine eigenständige ZTXGate-Bereitstellung kann manuelle Lizenz- und Softwareupdate-Workflows verwenden, wenn kein externer CoreZT-Dienst verfügbar ist.

Nächste Schritte​

Nachdem die erste Verbindung funktioniert, fahren Sie mit den für Ihre Bereitstellung wichtigsten Bereichen fort: