Wat is een App Connector?
Een App Connector is het softwarecomponent van Zscaler Private Access (ZPA) dat in het interne netwerk, dicht bij de applicaties, draait en toegang van geautoriseerde gebruikers naar die applicaties tot stand brengt. De Connector bouwt uitsluitend uitgaande, TLS-versleutelde verbindingen naar de ZPA-cloud op; inkomende firewallpoorten worden niet geopend. Wanneer een gebruiker een vrijgegeven App Segment benadert, brengt de ZPA-cloud beide kanten samen: de tunnel van de Zscaler Client Connector vanaf het apparaat en de verbinding van de App Connector naar de applicatie. De applicatie zelf blijft onzichtbaar vanaf het internet. App Connectors worden in groepen georganiseerd en redundant ingezet; hun status is een centrale factor voor de beschikbaarheid van ZPA.
App Connector in detail
De App Connector wordt uitgerold als virtuele machine, als image in public clouds, of als pakket respectievelijk container onder Linux. Via een Provisioning Key wordt hij aan uw eigen ZPA-tenant gekoppeld en aan een Connector-groep toegewezen; App Segments zijn via servergroepen met deze Connector-groepen verbonden, zodat vastligt welke Connectors een applicatie kunnen bereiken. De Connector lost de interne namen van de applicaties zelf op en heeft daarom werkend intern DNS nodig, plus een netwerkroute naar de applicatie.
Voor een stabiele werking zijn minimaal twee App Connectors per groep gebruikelijk, zodat updates en storingen de toegang niet onderbreken. De Connectors melden gezondheidsgegevens aan de ZPA-cloud, waaronder belasting en bereikbaarheid. Onderhoud betekent vooral: capaciteit in de gaten houden, besturingssysteem en Connector-software actueel houden, en de plaatsing afstemmen op de topologie.
Waarom tellen App Connectors in de Zscaler-praktijk?
In ZPA-beheer is de App Connector de schakel die bij storingen als eerste gecontroleerd moet worden, wanneer meerdere gebruikers dezelfde applicatie niet bereiken. De diagnoseketen luidt: gebruiker en client, toegangspolicy, App Segment, Connector. Is een Connector overbelast, offline, of kan hij de applicatie niet oplossen, dan lijkt dat op een applicatiestoring, terwijl policy en client correct zijn. Zonder inzicht in deze keten escaleert de helpdesk standaard naar het ZPA-team.
Capaciteitsplanning is voor het beheer eveneens van belang: groeit het aantal gebruikers of komen er dataintensieve applicaties bij, dan moeten Connector-groepen meegroeien. Updates plant u zo dat de redundantie behouden blijft. Voor auditdoeleinden telt ten slotte dat het toegangspad naar kritieke applicaties gedocumenteerd is: welke segmenten via welke groepen lopen en hoe hun status wordt bewaakt.
Veelvoorkomende foutbronnen
- Losse Connector zonder redundantie: elk onderhoud en elke storing leidt direct tot verlies van applicatietoegang.
- DNS-lacunes: kan de Connector interne namen niet oplossen, dan blijft de applicatie ondanks correcte policy onbereikbaar.
- Geblokkeerde egress: firewalls die de uitgaande verbindingen van de Connector beperken, verbreken de verbinding met de ZPA-cloud.
- Verkeerde groepstoewijzing: een App Segment wijst naar een Connector-groep die de applicatie netwerktechnisch helemaal niet bereikt, bijvoorbeeld na een verhuizing naar de cloud.
App Connectors in de praktijk: wat CentaurNexus bijdraagt
CentaurNexus maakt de ZPA-keten grijpbaar voor support: Connectivity Triage Map brengt de ZDX-keten en de policystatus samen en noemt de oorzaak in gewone taal, dus of een probleem bij de ISP, de wifi, het apparaat of Zscaler ligt. User Support Center toont de helpdesk als 360-gradenbeeld over ZIA, ZPA en ZDX welke segmenten en toegangen een gebruiker raken, zonder Zscaler-beheerdersrechten. Of de oorzaak bij de App Connectors zelf ligt, laat Connector Status Overview zien als leesoverzicht van status, versie en upgradestand van de app- en cloud-Connectors, zodat een uitgevallen of verouderde Connector opvalt voordat hij als vage applicatiestoring in een ticket belandt. Zo is te onderscheiden of één gebruiker is getroffen of een hele applicatie, voordat wordt geëscaleerd. Hoe die duiding in enkele minuten lukt, laat deze gids zien: Ligt het aan Zscaler of aan de wifi?.
Verwante begrippen
Veelgestelde vragen over de App Connector
ZPA legt geen rechtstreekse verbinding van internet naar de applicatie. De App Connector draait dicht bij de applicatie en bouwt uitgaande verbindingen naar de ZPA-cloud op; daar worden de gebruikers- en de applicatiekant samengebracht. Zo blijven interne applicaties onzichtbaar vanaf het internet, en hoeven er geen inkomende firewallpoorten te worden geopend.
Nee. De Connector start zelf alle verbindingen naar buiten, doorgaans TLS-versleuteld naar de ZPA-cloud. Nodig zijn uitgaande vrijgaven richting Zscaler, plus interne netwerktoegang tot de applicaties en het interne DNS. De precieze egress-vereisten en doeladressen documenteert Zscaler in het Help Portal.
Het juiste aantal hangt af van het aantal gebruikers, het datavolume en de topologie van de omgeving. Als vuistregel geldt: minimaal twee Connectors per groep voor redundantie, plus extra capaciteit voor piekbelasting en updates. Locaties met eigen applicaties (datacenter, cloud-VPC, fabriek) krijgen doorgaans eigen groepen dicht bij de applicaties.
De App Connector legt de verbinding met de applicatie; hij is het applicatiezijdige component. Een Private Service Edge brengt daarentegen de bemiddelingsfunctie van de ZPA-cloud dichter bij de gebruikers, bijvoorbeeld op grote locaties. Beide vullen elkaar aan: de Service Edge bemiddelt, de Connector levert de weg naar de applicatie.
Typisch patroon: meerdere gebruikers melden dezelfde applicatie, andere applicaties werken wel, en de betrokken segmenten hangen aan dezelfde Connector-groep. Dan loont een blik op Connector-status, belasting en DNS-resolutie. Is slechts één gebruiker getroffen, dan ligt de oorzaak eerder bij client, netwerk of policy.
- Zscaler Help Portal: ZPA-documentatie, help.zscaler.com/zpa
- Zscaler Help Portal: About App Connectors - help.zscaler.com/zpa/about-connectors
- NIST SP 800-207: Zero Trust Architecture, csrc.nist.gov/pubs/sp/800/207/final
Let op: CentaurNexus is een onafhankelijk product van SourcingBlox GmbH en geen aanbod van Zscaler, Inc. Product- en merknamen behoren toe aan hun respectieve eigenaren.