Configurando o Zscaler Private Access para ZTNA

Quando Usar

• Ao substituir concentradores VPN tradicionais por acesso de confiança zero em nível de aplicativo
• Ao fornecer aos usuários remotos acesso seguro a aplicativos internos sem conectividade em nível de rede
• Ao implementar acesso de privilégio mínimo, onde os usuários veem apenas os aplicativos autorizados
• Ao precisar tornar aplicativos internos invisíveis para usuários não autorizados e para a internet
• Ao integrar ZTNA com a arquitetura SASE existente usando o Zscaler Internet Access (ZIA)

Não use para aplicativos que exigem acesso UDP bruto (o ZPA suporta principalmente TCP), para fornecer acesso em nível de rede completo equivalente a VPN site-a-site (use ZPA AppProtection ou branch connector em vez disso), ou quando a organização requer controle de acesso apenas no local, sem dependência da nuvem.

Pré-requisitos

• Assinatura do Zscaler Private Access (edição Business ou Transformation)
• Provedor de identidade configurado: Okta, Microsoft Entra ID, Ping Identity ou IdP SAML 2.0
• Requisitos da VM do App Connector: VM Linux (CentOS 7/8, RHEL 7/8, Ubuntu 18.04+, Amazon Linux 2) com no mínimo 2 vCPUs, 4GB de RAM
• Conectividade de saída do App Connector para a nuvem ZPA na porta 443 (nenhuma porta de entrada necessária)
• Resolução DNS do App Connector para FQDNs de aplicativos internos
• Zscaler Client Connector implantado nos endpoints do usuário

Fluxo de Trabalho

Etapa 1: Implantar App Connectors na Rede de Aplicativos

Os App Connectors estabelecem túneis de saída exclusiva para a nuvem ZPA, fornecendo acesso a aplicativos internos.

# Download and install App Connector on Linux VM
# Obtain provisioning key from ZPA Admin Portal > Administration > App Connectors

# For RHEL/CentOS
sudo yum install -y https://yum.private.zscaler.com/yum/el7/zpa-connector-latest.rpm

# For Ubuntu/Debian
curl -sS https://dist.private.zscaler.com/apt/pubkey.gpg | sudo apt-key add -
echo "deb https://dist.private.zscaler.com/apt stable main" | sudo tee /etc/apt/sources.list.d/zpa.list
sudo apt update && sudo apt install -y zpa-connector

# Configure the connector with provisioning key
sudo /opt/zscaler/bin/zpa-connector configure \
  --provision-key "PROVISIONING_KEY_FROM_PORTAL"

# Start the connector service
sudo systemctl enable zpa-connector
sudo systemctl start zpa-connector

# Verify connector status
sudo systemctl status zpa-connector
sudo /opt/zscaler/bin/zpa-connector status

# Deploy second connector for HA (minimum 2 per site)
# Repeat on second VM with same App Connector Group provisioning key

Etapa 2: Definir Grupos de Servidores e Segmentos de Aplicativos

Mapeie aplicativos internos para grupos de servidores e crie segmentos de aplicativos.

ZPA Admin Portal Configuration:

1. Server Groups:
   Navigate to: Administration > App Connectors > Server Groups
   - Name: "DC-East-Servers"
   - App Connector Group: "DC-East-Connectors"
   - Servers:
     - hr-portal.internal.corp (10.1.1.50, TCP 443)
     - finance-app.internal.corp (10.1.1.51, TCP 443)
     - git.internal.corp (10.1.2.10, TCP 22, 443)

2. Application Segments:
   Navigate to: Resources > Application Segments > Add Application Segment
   - Name: "HR Applications"
   - Domain/URL: hr-portal.internal.corp
   - TCP Ports: 443
   - Server Group: DC-East-Servers
   - Health Reporting: Continuous
   - Bypass Type: Never (force all traffic through ZPA)

   - Name: "Engineering Tools"
   - Domain/URL: git.internal.corp, ci.internal.corp, wiki.internal.corp
   - TCP Ports: 22, 80, 443
   - Server Group: DC-East-Servers
   - Segment Group: "Engineering Segment Group"

Etapa 3: Configurar Políticas de Acesso

Defina quem pode acessar quais segmentos de aplicativos com base na identidade e na postura do dispositivo.

Portal de Administração ZPA > Políticas > Política de Acesso:

Regra 1: Acesso da Equipe de RH
  - Nome: "Acesso ao Portal de RH"
  - Ação: PERMITIR
  - Critérios:
    - Grupos de Usuários: "Departamento-RH" (do IdP)
    - Segmento de Aplicativo: "Aplicativos de RH"
    - Perfil de Postura do Dispositivo: "Dispositivo Gerenciado Corporativamente"
    - Tipo de Cliente: Zscaler Client Connector
  - Condições:
    - Atributo SAML: departamento = "Recursos Humanos"
    - Nível de Confiança do Dispositivo: "ALTO" (pontuação ZTA do CrowdStrike > 70)

Regra 2: Acesso de Engenharia
  - Nome: "Acesso a Ferramentas de Engenharia"
  - Ação: PERMITIR
  - Critérios:
    - Grupos de Usuários: "Equipe-Engenharia", "Equipe-DevOps"
    - Segmento de Aplicativo: "Ferramentas de Engenharia"
    - Perfil de Postura do Dispositivo: "Estação de Trabalho do Desenvolvedor"
  - Condições:
    - Grupo de Máquinas: "Laptops de Engenharia"

Regra 3: Acesso Limitado a Contratados

…