快速入门
本指南从产品层面说明 ZTXGate 的初始部署流程。它有意不包含特定版本的安装命令，也不逐项列出设置脚本的具体提示。
系统要求
ZTXGate 面向轻量级单节点部署设计。
| 要求 | 最低值 / 支持基线 |
|---|---|
| 操作系统 | Ubuntu 24 或更高版本 |
| CPU | 至少 2 个 CPU 核心 |
| 内存 | 至少 2 GB RAM |
| 部署模型 | 单节点 |
| 软件包 | 一个 ZTXGate Debian（.deb）软件包 |
CPU 和内存的最低值只是起点。生产环境容量规划应考虑并发用户数、流量、无客户端代理使用情况、集成数量和日志需求。
开始之前
安装前，请规划设置流程所需的基本部署信息，包括：
- 用于标识部署的 FQDN 和/或 IP 地址；
- 适合您环境的监听端口；
- 生产 TLS 使用的证书；以及
- 计划使用的访问方式和外部集成所需的网络可达性。
受管终端访问使用基于 WireGuard 的连接，因此网络路径必须允许已配置的 WireGuard 流量。如果启用身份提供商、MDM/EDR 平台、SMTP 中继或其他云集成，这些外部服务也必须可达。
Bootstrap 阶段的可选许可证文件
如果您已经拥有 ZTXGate 许可证文件，可以在安装或初始设置前将其放入 /tmp。Debian 软件包安装流程和设置脚本都可以从该位置读取许可证文件。
后续许可证变更无需继续使用 /tmp。之后的许可证更新在管理门户中完成。
1. 安装 ZTXGate 软件包
在准备好的 Ubuntu 主机上安装提供的 ZTXGate .deb 软件包。
该软件包包含单节点部署所需的 ZTXGate 组件。此时软件已经安装，但仍需要初始化与该部署相关的网络和证书设置。
2. 运行初始设置脚本
软件包安装成功后，运行 ZTXGate 设置脚本。
设置脚本负责底层 bootstrap 配置，包括：
- FQDN 和 IP 地址；
- 监听端口；
- 证书；以及
- 相关的部署级网络参数。
在此阶段，ZTXGate 还会生成 WireGuard 配置以及 bootstrap 管理员的凭据。
请妥善保护 bootstrap 管理员凭据，因为继续在门户中完成配置需要这些初始管理权限。
3. 登录管理门户
使用设置阶段生成的 bootstrap 管理员凭据登录 ZTXGate 管理门户。
从此阶段开始，大多数安全与运行配置都在门户中完成，而不是继续通过底层设置脚本完成。
4. 完成高级配置
配置您的环境所需的集成和服务。根据部署情况，可以包括：
- 认证器和附加验证方式；
- 用于发送电子邮件工作流的 SMTP；
- 用于认证和单点登录的 OIDC；
- 用于用户配置和身份生命周期同步的 SCIM；
- 用于共享安全信号的 SSF；
- 用于设备姿态的 MDM/EDR 集成；以及
- 许可证更新。
初次评估并不需要启用所有集成。先配置您要测试的访问路径所必需的能力，然后逐步增加其他集成。
5. 创建或同步第一个用户
建立用于首次访问测试的用户身份。
根据您的配置，可以通过相应的管理流程创建用户，也可以通过已配置的身份生命周期集成同步用户。
对于常见的基于电子邮件的注册流程，请先配置 SMTP，再签发注册令牌。
6. 注册第一个设备
为用户创建注册令牌，并在终端上完成注册。
对于受管访问，注册会将终端与用户关联，并为通过 ZTXGate 使用 WireGuard 连接做好准备。之后，设备可以作为访问策略中的独立对象进行评估。
7. 定义第一个受保护资源
创建一个资源，用来表示您希望保护的应用、主机或服务。
首次测试建议选择范围较小、连通性和预期协议都容易验证的资源。这样更容易区分策略问题与普通网络或应用问题。
8. 创建第一条访问策略
创建一条策略，允许测试用户和已注册设备访问该资源。
第一条策略通常应保持简单，而不是一开始就加入大量条件。基本路径验证成功后，再按需添加设备姿态、时间、网络位置、临时访问或附加认证要求。
在适用时，可使用内置策略模拟器，在生产环境依赖该策略之前评估预期的 (用户, 设备, 资源) 决策。
9. 验证第一次连接
从已注册终端发起连接，并确认可以通过 ZTXGate 访问已授权资源。
随后在门户中检查相关的访问、认证和策略记录。这样不仅可以确认网络连接正常，也可以确认 ZTXGate 做出了预期的访问决策并留下记录。
评估无客户端 HTTP/HTTPS 访问
如果您的部署包含已许可的无客户端访问功能，可以通过浏览器代理路径评估 HTTP/HTTPS 应用，而不使用受管终端的 WireGuard 路径。
资源和策略概念保持不变，但在这种无客户端 Web 访问流程中，终端无需安装 WireGuard。
隔离部署
在隔离环境中，同样适用上述基本部署阶段。请注意，外部身份、MDM、EDR、SIEM、SMTP 或云认证服务的集成仍要求这些服务能够被访问。
当没有外部 CoreZT 服务可用时，独立的 ZTXGate 部署可以使用手动许可证和软件更新流程。
后续步骤
第一次连接成功后，可以继续查看与您的部署最相关的内容：