Bien démarrer
Ce guide décrit le flux initial de déploiement ZTXGate au niveau produit. Il évite volontairement les commandes d’installation propres à une version et les invites exactes du script de configuration.
Exigences système
ZTXGate est conçu pour un déploiement léger sur un nœud unique.
| Exigence | Minimum / base prise en charge |
|---|---|
| Système d’exploitation | Ubuntu 24 ou version ultérieure |
| CPU | 2 cœurs CPU minimum |
| Mémoire | 2 Go de RAM minimum |
| Modèle de déploiement | Nœud unique |
| Paquet logiciel | Un paquet Debian ZTXGate (.deb) |
Les valeurs minimales de CPU et de mémoire constituent un point de départ. Le dimensionnement en production doit tenir compte du nombre d’utilisateurs simultanés, du volume de trafic, de l’utilisation du proxy sans client, des intégrations et des besoins de journalisation.
Avant de commencer
Avant l’installation, préparez les informations de base dont le processus de configuration aura besoin, notamment :
- les FQDN et/ou adresses IP qui identifieront le déploiement ;
- les ports d’écoute adaptés à votre environnement ;
- les certificats utilisés pour TLS en production ; et
- la connectivité réseau nécessaire aux méthodes d’accès et aux intégrations externes prévues.
L’accès depuis les terminaux gérés utilise une connectivité basée sur WireGuard ; le chemin réseau doit donc autoriser le trafic WireGuard configuré. Les services externes tels que les fournisseurs d’identité, les plateformes MDM/EDR, les relais SMTP ou d’autres intégrations cloud doivent également être joignables si vous les activez.
Fichier de licence facultatif pendant le bootstrap
Si vous disposez déjà d’un fichier de licence ZTXGate, il peut être placé dans /tmp avant l’installation ou la configuration initiale. L’installation du paquet Debian et le script de configuration peuvent tous deux récupérer un fichier de licence à cet emplacement.
Vous n’avez pas besoin d’utiliser /tmp pour les changements de licence ultérieurs. Les mises à jour de licence suivantes sont gérées dans le portail d’administration.
1. Installer le paquet ZTXGate
Installez le paquet ZTXGate .deb fourni sur l’hôte Ubuntu préparé.
Le paquet contient les composants ZTXGate nécessaires au déploiement sur un nœud unique. À ce stade, le logiciel est installé, mais les paramètres réseau et certificats propres au déploiement doivent encore être initialisés.
2. Exécuter le script de configuration initiale
Une fois l’installation du paquet terminée avec succès, exécutez le script de configuration ZTXGate.
Le script réalise la configuration de bootstrap de bas niveau, notamment :
- les FQDN et adresses IP ;
- les ports d’écoute ;
- les certificats ; et
- les paramètres réseau associés au déploiement.
À cette étape, ZTXGate crée également la configuration WireGuard et les identifiants de l’administrateur bootstrap.
Protégez les identifiants de l’administrateur bootstrap, car ils donnent l’accès administratif initial nécessaire pour poursuivre la configuration dans le portail.
3. Se connecter au portail d’administration
Utilisez les identifiants de l’administrateur bootstrap créés pendant la configuration pour vous connecter au portail d’administration ZTXGate.
À partir de ce point, l’essentiel de la configuration de sécurité et d’exploitation s’effectue dans le portail plutôt que dans le script de configuration de bas niveau.
4. Terminer la configuration de haut niveau
Configurez les intégrations et services nécessaires à votre environnement. Selon le déploiement, cela peut inclure :
- des authentificateurs et des méthodes de vérification supplémentaires ;
- SMTP pour les flux qui envoient des e-mails ;
- OIDC pour l’authentification et le Single Sign-On ;
- SCIM pour le provisionnement des utilisateurs et la synchronisation du cycle de vie des identités ;
- SSF pour les signaux de sécurité partagés ;
- des intégrations MDM/EDR pour la posture des appareils ; et
- les mises à jour de licence.
Vous n’avez pas besoin d’activer toutes les intégrations pour une première évaluation. Commencez par les capacités nécessaires au chemin d’accès que vous souhaitez tester, puis ajoutez les intégrations progressivement.
5. Créer ou synchroniser le premier utilisateur
Établissez l’identité qui servira au premier test d’accès.
Selon votre configuration, les utilisateurs peuvent être créés par le flux administratif approprié ou synchronisés via l’intégration de cycle de vie des identités configurée.
Pour les flux d’enrôlement habituels basés sur l’e-mail, configurez SMTP avant d’émettre un jeton d’enrôlement.
6. Enrôler le premier appareil
Créez un jeton d’enrôlement pour l’utilisateur et terminez l’enrôlement sur le terminal.
Pour l’accès géré, l’enrôlement associe le terminal à l’utilisateur et le prépare à la connectivité WireGuard via ZTXGate. L’appareil peut ensuite être évalué individuellement dans la politique d’accès.
7. Définir la première ressource protégée
Créez une ressource représentant l’application, l’hôte ou le service à protéger.
Pour le premier test, choisissez une ressource étroitement définie dont la connectivité et le protocole attendu sont faciles à vérifier. Cela permet de distinguer plus facilement un problème de politique d’un problème réseau ou applicatif classique.
8. Créer la première politique d’accès
Créez une politique autorisant l’utilisateur de test et l’appareil enrôlé à atteindre la ressource.
Une première politique simple est généralement préférable à un démarrage avec de nombreuses conditions. Une fois le chemin de base fonctionnel, vous pouvez ajouter des exigences de posture, d’horaire, d’emplacement réseau, d’accès temporaire ou d’authentification supplémentaire.
Lorsque cela est pertinent, utilisez le simulateur de politique intégré pour évaluer la décision (utilisateur, appareil, ressource) avant de vous appuyer sur la politique en production.
9. Valider la première connexion
Connectez-vous depuis le terminal enrôlé et vérifiez que la ressource autorisée est accessible via ZTXGate.
Consultez ensuite les enregistrements pertinents d’accès, d’authentification et de politique dans le portail. Vous confirmez ainsi non seulement la connectivité, mais aussi que ZTXGate prend et enregistre la décision d’accès attendue.
Évaluer l’accès HTTP/HTTPS sans client
Si votre déploiement inclut la fonction d’accès sans client sous licence, les applications HTTP/HTTPS peuvent être évaluées via le proxy dans le navigateur plutôt que par le chemin WireGuard du terminal géré.
Les concepts de ressource et de politique restent les mêmes, mais le terminal n’a pas besoin de WireGuard pour ce flux d’accès web sans client.
Déploiements isolés
Les mêmes étapes générales de déploiement s’appliquent dans un environnement isolé. Gardez à l’esprit que les intégrations avec des services externes d’identité, MDM, EDR, SIEM, SMTP ou d’authentification cloud nécessitent que ces services soient joignables.
Un déploiement ZTXGate autonome peut utiliser des flux manuels de licence et de mise à jour logicielle lorsqu’aucun service CoreZT externe n’est disponible.
Étapes suivantes
Une fois la première connexion opérationnelle, poursuivez avec les domaines les plus pertinents pour votre déploiement :