Primeros pasos
Esta guía explica el flujo inicial de despliegue de ZTXGate a nivel de producto. Evita deliberadamente comandos de instalación específicos de una versión y las preguntas exactas del script de configuración.
Requisitos del sistema
ZTXGate está diseñado para un despliegue ligero de un solo nodo.
| Requisito | Mínimo / base compatible |
|---|---|
| Sistema operativo | Ubuntu 24 o posterior |
| CPU | Mínimo 2 núcleos de CPU |
| Memoria | Mínimo 2 GB de RAM |
| Modelo de despliegue | Nodo único |
| Paquete de software | Un paquete Debian de ZTXGate (.deb) |
Los valores mínimos de CPU y memoria son un punto de partida. El dimensionamiento de producción debe tener en cuenta usuarios simultáneos, volumen de tráfico, uso del proxy sin cliente, integraciones y requisitos de registro.
Antes de empezar
Antes de la instalación, planifique la información básica de despliegue que necesitará el proceso de configuración, incluida:
- los FQDN y/o direcciones IP que identificarán el despliegue;
- los puertos de escucha adecuados para su entorno;
- los certificados que se utilizarán para TLS en producción; y
- la conectividad de red para los métodos de acceso e integraciones externas que pretenda utilizar.
El acceso desde endpoints gestionados utiliza conectividad basada en WireGuard, por lo que la ruta de red debe permitir el tráfico WireGuard configurado. Los servicios externos como proveedores de identidad, plataformas MDM/EDR, relays SMTP u otras integraciones cloud también deben ser accesibles si se habilitan.
Archivo de licencia opcional durante el bootstrap
Si ya dispone de un archivo de licencia de ZTXGate, puede colocarlo en /tmp antes de la instalación o configuración inicial. Tanto el proceso de instalación del paquete Debian como el script de configuración pueden recoger un archivo de licencia desde esa ubicación.
No es necesario utilizar /tmp para cambios posteriores de licencia. Las actualizaciones de licencia posteriores se gestionan desde el portal de administración.
1. Instalar el paquete ZTXGate
Instale el paquete ZTXGate .deb proporcionado en el host Ubuntu preparado.
El paquete contiene los componentes de ZTXGate necesarios para el despliegue de un solo nodo. En esta etapa, el software está instalado, pero todavía deben inicializarse los ajustes de red y certificados específicos del despliegue.
2. Ejecutar el script de configuración inicial
Después de que la instalación del paquete termine correctamente, ejecute el script de configuración de ZTXGate.
El script realiza la configuración bootstrap de bajo nivel, incluidos ajustes como:
- FQDN y direcciones IP;
- puertos de escucha;
- certificados; y
- parámetros de red relacionados con el despliegue.
Durante esta etapa, ZTXGate también crea la configuración de WireGuard y las credenciales del administrador bootstrap.
Proteja las credenciales del administrador bootstrap porque proporcionan el acceso administrativo inicial necesario para continuar la configuración en el portal.
3. Iniciar sesión en el portal de administración
Utilice las credenciales del administrador bootstrap creadas durante la configuración para iniciar sesión en el portal de administración de ZTXGate.
A partir de este punto, la mayor parte de la configuración operativa y de seguridad se realiza en el portal y no en el script de configuración de bajo nivel.
4. Completar la configuración de alto nivel
Configure las integraciones y servicios requeridos por su entorno. Según el despliegue, esto puede incluir:
- autenticadores y métodos de verificación adicionales;
- SMTP para flujos que envían correo electrónico;
- OIDC para autenticación e inicio de sesión único;
- SCIM para aprovisionamiento de usuarios y sincronización del ciclo de vida de identidad;
- SSF para señales de seguridad compartidas;
- integraciones MDM/EDR para postura del dispositivo; y
- actualizaciones de licencia.
No es necesario habilitar todas las integraciones para una evaluación inicial. Empiece por las capacidades necesarias para la ruta de acceso que desea probar y añada integraciones de forma incremental.
5. Crear o sincronizar el primer usuario
Establezca la identidad que se utilizará para la primera prueba de acceso.
Según su configuración, los usuarios pueden crearse mediante el flujo administrativo correspondiente o sincronizarse mediante la integración de ciclo de vida de identidad configurada.
Para los flujos habituales de inscripción por correo electrónico, configure SMTP antes de emitir un token de inscripción.
6. Inscribir el primer dispositivo
Cree un token de inscripción para el usuario y complete la inscripción en el endpoint.
Para el acceso gestionado, la inscripción asocia el endpoint con el usuario y lo prepara para la conectividad basada en WireGuard a través de ZTXGate. El dispositivo puede evaluarse posteriormente de forma independiente como parte de la política de acceso.
7. Definir el primer recurso protegido
Cree un recurso que represente la aplicación, host o servicio que desea proteger.
Para la primera prueba, elija un recurso de alcance limitado cuya conectividad y protocolo esperado sean fáciles de verificar. Esto facilita distinguir los problemas de política de los problemas normales de red o de aplicación.
8. Crear la primera política de acceso
Cree una política que autorice al usuario de prueba y al dispositivo inscrito a alcanzar el recurso.
Una primera política sencilla suele ser preferible a comenzar con muchas condiciones. Cuando la ruta básica funcione, puede añadir requisitos de postura, tiempo, ubicación de red, acceso temporal o autenticación adicional.
Cuando corresponda, utilice el simulador de políticas integrado para evaluar la decisión prevista (usuario, dispositivo, recurso) antes de depender de la política en producción.
9. Validar la primera conexión
Conéctese desde el endpoint inscrito y confirme que el recurso autorizado es accesible a través de ZTXGate.
Después revise los registros relevantes de acceso, autenticación y política en el portal. Esto confirma no solo que la conectividad funciona, sino también que ZTXGate toma y registra la decisión de acceso esperada.
Evaluación del acceso HTTP/HTTPS sin cliente
Si su despliegue incluye la capacidad licenciada de acceso sin cliente, las aplicaciones HTTP/HTTPS pueden evaluarse mediante la ruta del proxy basada en navegador en lugar de la ruta WireGuard del endpoint gestionado.
Los conceptos de recurso y política siguen siendo los mismos, pero el endpoint no necesita WireGuard para ese flujo de acceso web sin cliente.
Despliegues aislados
Las mismas etapas básicas de despliegue se aplican en un entorno aislado. Tenga en cuenta que las integraciones con servicios externos de identidad, MDM, EDR, SIEM, SMTP o autenticación cloud requieren que esos servicios sean accesibles.
Un despliegue ZTXGate independiente puede utilizar flujos manuales de licencia y actualización de software cuando no haya disponible ningún servicio externo de CoreZT.
Siguientes pasos
Cuando la primera conexión funcione, continúe con las áreas más relevantes para su despliegue: