Aller au contenu principal

ZTXGate

ZTXGate est une passerelle Zero Trust Network Access conçue pour donner aux utilisateurs accès à des ressources définies plutôt qu’un accès étendu au réseau privé environnant.

Un déploiement standard est une installation légère sur un nœud unique Ubuntu. Le logiciel ZTXGate est fourni sous la forme d’un seul paquet Debian et regroupe la passerelle principale, le portail d’administration et le proxy HTTP/HTTPS sans client dans un même déploiement.

Chemins d’accès​

ZTXGate prend en charge deux chemins d’accès principaux :

  • Accès depuis un terminal géré. Les terminaux enregistrés utilisent une connectivité basée sur WireGuard pour atteindre les ressources autorisées par les politiques ZTXGate. La présence du tunnel n’accorde pas à elle seule l’accès ; l’identité, l’appareil, la ressource et la politique déterminent ce que le terminal peut atteindre.
  • Accès HTTP/HTTPS sans client. Lorsque cette fonction est licenciée, les utilisateurs peuvent atteindre des applications web autorisées via le proxy sans client de ZTXGate sans installer WireGuard sur le terminal. Le proxy termine la connexion entrante du navigateur et établit la connexion autorisée vers l’application protégée.

Les deux chemins utilisent le même modèle général d’accès piloté par l’identité et les politiques.

Modèle de déploiement et de configuration​

La mise en place de ZTXGate est volontairement divisée en trois étapes :

  1. Installer le paquet. Installez l’unique paquet ZTXGate .deb sur un hôte Ubuntu pris en charge.
  2. Exécuter le script de configuration initiale. Configurez les paramètres de déploiement de bas niveau tels que les FQDN ou adresses IP, les ports d’écoute et les certificats. Cette étape crée également la configuration WireGuard et les identifiants de l’administrateur bootstrap.
  3. Terminer la configuration de haut niveau dans le portail d’administration. Configurez l’authentification, les intégrations d’identité et de cycle de vie, les intégrations de sécurité des terminaux, SMTP, Shared Signals Framework (SSF), les licences et les autres paramètres opérationnels.

Cette séparation distingue clairement le bootstrap de l’hôte et du réseau de la configuration de sécurité et d’exploitation gérée quotidiennement par les administrateurs.

Identité, appareil, ressource et politique​

L’accès ZTXGate repose sur quatre objets principaux :

  • Identité — l’utilisateur qui demande l’accès.
  • Appareil — le terminal enregistré associé à cet utilisateur pour l’accès géré.
  • Ressource — l’application, l’hôte ou le service protégé.
  • Politique — les conditions dans lesquelles cette identité et cet appareil peuvent atteindre cette ressource.

Les politiques peuvent inclure l’identité, le rôle, l’appareil, la posture, l’emplacement réseau, l’heure, la ressource, la durée d’accès et les exigences prises en charge pour une authentification supplémentaire.

Authentification et intégrations​

La configuration de haut niveau s’effectue dans le portail d’administration. Selon le déploiement, les administrateurs peuvent configurer notamment :

  • des authentificateurs et des méthodes de vérification supplémentaires ;
  • OIDC pour l’authentification et le Single Sign-On ;
  • SCIM pour le provisionnement des utilisateurs et la synchronisation du cycle de vie des identités ;
  • SSF pour l’échange de signaux de sécurité ;
  • SMTP pour les flux qui dépendent de l’e-mail ;
  • des intégrations MDM et EDR pour la posture des appareils ; et
  • les mises à jour de licence.

Lorsque ZTXBAS est licencié avec ZTXGate, ZTXBAS est intégré sous forme de bibliothèque et peut fournir une authentification biométrique résistante au phishing sans nécessiter de serveur ZTXBAS distinct.

Contrôle du déploiement​

ZTXGate peut être exploité par le client ou par un MSP et fonctionner sur site, dans une infrastructure cloud, dans des environnements hybrides ou totalement isolés.

Le fonctionnement principal de l’accès ne nécessite pas de plan de contrôle cloud CoreZT obligatoire. Les services externes d’identité, MDM, EDR, SIEM ou d’authentification cloud nécessitent naturellement une connectivité lorsque ces intégrations sont utilisées.

Portée de cette documentation​

Cette documentation web se concentre sur les concepts stables et sur le flux de base de déploiement et de configuration. Les commandes exactes d’installation, les invites du script de configuration, les matrices de ports, les procédures opérationnelles avancées et les détails d’administration propres aux versions ne font volontairement pas encore partie de cette section d’introduction.

Et ensuite ?​

Commencez par Bien démarrer pour connaître les exigences système minimales et le flux de déploiement initial.

Vous pouvez également consulter :