Was ist ein App Connector?
Ein App Connector ist die Software-Komponente von Zscaler Private Access (ZPA), die im internen Netz nahe den Anwendungen läuft und Zugriffe autorisierter Nutzer zu diesen Anwendungen vermittelt. Der Connector baut ausschließlich ausgehende, TLS-verschlüsselte Verbindungen zur ZPA-Cloud auf; eingehende Firewall-Ports werden nicht geöffnet. Greift ein Nutzer auf ein freigegebenes App-Segment zu, führt die ZPA-Cloud beide Seiten zusammen: den Tunnel des Zscaler Client Connectors vom Endgerät und die Verbindung des App Connectors zur Anwendung. Die Anwendung selbst bleibt aus dem Internet unsichtbar. App Connectors werden in Gruppen organisiert und redundant betrieben; ihr Zustand ist ein zentraler Faktor der ZPA-Verfügbarkeit.
App Connector im Detail
Bereitgestellt wird der App Connector als virtuelle Maschine, als Image in Public Clouds oder als Paket beziehungsweise Container auf Linux. Über einen Provisioning Key wird er an den eigenen ZPA-Tenant gebunden und einer Connector-Gruppe zugeordnet; App-Segmente sind über Server-Gruppen mit diesen Connector-Gruppen verknüpft, sodass festgelegt ist, welche Connectoren eine Anwendung erreichen. Der Connector löst die internen Namen der Anwendungen selbst auf und braucht deshalb funktionierendes internes DNS sowie eine Netzwerk-Route zur Anwendung.
Für den stabilen Betrieb sind mindestens zwei App Connectors je Gruppe üblich, damit Updates und Ausfälle keine Zugriffe unterbrechen. Die Connectoren melden Gesundheitsdaten an die ZPA-Cloud, darunter Auslastung und Erreichbarkeit. Wartung heißt vor allem: Kapazität im Blick behalten, Betriebssystem und Connector-Software aktuell halten und die Platzierung an der Topologie ausrichten.
Warum sind App Connectors im Zscaler-Betrieb wichtig?
Im ZPA-Betrieb ist der App Connector das Glied, das bei Störungen zuerst geprüft gehört, wenn mehrere Nutzer dieselbe Anwendung nicht erreichen. Die Diagnose-Kette lautet: Nutzer und Client, Zugriffsrichtlinie, App-Segment, Connector. Ist ein Connector überlastet, offline oder kann er die Anwendung nicht auflösen, wirkt das wie ein Anwendungsausfall, obwohl Richtlinien und Client korrekt sind. Ohne Einblick in diese Kette eskaliert der Helpdesk pauschal an das ZPA-Team.
Betriebsrelevant ist außerdem die Kapazitätsplanung: Wachsen Nutzerzahlen oder kommen datenintensive Anwendungen dazu, müssen Connector-Gruppen mitwachsen. Updates wollen so geplant sein, dass Redundanz erhalten bleibt. Für Nachweise zählt schließlich, dass der Zugriffsweg zu kritischen Anwendungen dokumentiert ist: welche Segmente über welche Gruppen laufen und wie deren Zustand überwacht wird.
Typische Fehlerquellen
- Einzelner Connector ohne Redundanz: Jede Wartung und jede Störung wird unmittelbar zum Ausfall des Anwendungszugriffs.
- DNS-Lücken: Kann der Connector interne Namen nicht auflösen, bleibt die Anwendung trotz korrekter Richtlinie unerreichbar.
- Blockierter Egress: Firewalls, die die ausgehenden Verbindungen des Connectors einschränken, kappen die Verbindung zur ZPA-Cloud.
- Falsche Gruppen-Zuordnung: Ein App-Segment zeigt auf eine Connector-Gruppe, die die Anwendung netzseitig gar nicht erreicht, etwa nach einem Umzug in die Cloud.
App Connectors in der Praxis: so hilft CentaurNexus
CentaurNexus macht die ZPA-Kette für den Support greifbar: Connectivity Triage Map zieht die ZDX-Kette und den Policy-Status zusammen und benennt die Ursache im Klartext, also ob ein Problem bei ISP, WLAN, Gerät oder Zscaler liegt. User Support Center zeigt dem Helpdesk als 360-Grad-Nutzerbefund über ZIA, ZPA und ZDX, welche Segmente und Zugriffe einen Nutzer betreffen, ohne Zscaler-Admin-Rechte. Ob die Ursache bei den App Connectors selbst liegt, zeigt Connector Status Overview als lesende Übersicht über Status, Version und Upgrade-Stand der App- und Cloud-Connectoren, sodass ein ausgefallener oder veralteter Connector auffällt, bevor er als diffuse Anwendungsstörung im Ticket landet. So lässt sich unterscheiden, ob ein einzelner Nutzer betroffen ist oder eine ganze Anwendung, bevor eskaliert wird. Wie diese Einordnung in Minuten gelingt, zeigt der Leitfaden Ist es Zscaler oder das WLAN?.
Verwandte Begriffe
Häufige Fragen zum App Connector
ZPA stellt Verbindungen nicht direkt vom Internet zur Anwendung her. Der App Connector läuft nahe der Anwendung und baut ausgehende Verbindungen zur ZPA-Cloud auf; dort werden Nutzer- und Anwendungsseite zusammengeführt. So bleiben interne Anwendungen aus dem Internet unsichtbar, und es müssen keine eingehenden Firewall-Ports geöffnet werden.
Nein. Der Connector initiiert alle Verbindungen selbst nach außen, typischerweise TLS-verschlüsselt in die ZPA-Cloud. Nötig sind ausgehende Freigaben in Richtung Zscaler sowie interner Netzwerkzugriff auf die Anwendungen und das interne DNS. Die genauen Egress-Anforderungen und Ziel-Adressen dokumentiert Zscaler im Help Portal.
Die passende Anzahl hängt von Nutzerzahl, Datenvolumen und Topologie der Umgebung ab. Als Grundregel gilt: je Connector-Gruppe mindestens zwei Connectoren für Redundanz, zusätzliche Kapazität für Lastspitzen und Updates. Standorte mit eigenen Anwendungen (Rechenzentrum, Cloud-VPC, Werk) erhalten üblicherweise eigene Gruppen nahe den Anwendungen.
Der App Connector stellt die Verbindung zur Anwendung her, er ist die anwendungsseitige Komponente. Ein Private Service Edge bringt dagegen die Vermittlungsfunktion der ZPA-Cloud näher an die Nutzer, etwa an große Standorte. Beide ergänzen sich: Der Service Edge vermittelt, der Connector liefert den Weg zur Anwendung.
Typische Muster: Mehrere Nutzer melden dieselbe Anwendung, andere Anwendungen funktionieren, und die betroffenen Segmente hängen an derselben Connector-Gruppe. Dann lohnt der Blick auf Connector-Status, Auslastung und DNS-Auflösung. Ist nur ein einzelner Nutzer betroffen, liegt die Ursache eher bei Client, Netz oder Richtlinie.
- Zscaler Help Portal: ZPA-Dokumentation, help.zscaler.com/zpa
- Zscaler Help Portal: About App Connectors - help.zscaler.com/zpa/about-connectors
- NIST SP 800-207: Zero Trust Architecture, csrc.nist.gov/pubs/sp/800/207/final
Hinweis: CentaurNexus ist ein unabhängiges Produkt der SourcingBlox GmbH und kein Angebot von Zscaler, Inc. Produkt- und Markennamen gehören ihren jeweiligen Inhabern.