用途：将传统 VPN 集中器替换为应用级零信任访问，让远程用户安全访问内部应用而不建立网络级连接，实现最小权限（用户仅见授权应用），并使内部应用对未授权用户和互联网不可见；可与 Zscaler Internet Access（ZIA）集成为 SASE 架构。不适用于需要原始 UDP 访问的应用（ZPA 主要支持 TCP）、需要等同于站点到站点 VPN 的完整网络级访问，或要求纯本地访问控制、不依赖云的组织。
前提条件：ZPA 订阅（Business 或 Transformation 版）；已配置身份提供方（Okta、Microsoft Entra ID、Ping Identity 或 SAML 2.0 IdP）；App Connector 虚拟机需 Linux（CentOS 7/8、RHEL 7/8、Ubuntu 18.04+、Amazon Linux 2），最低 2 vCPU、4GB 内存；App Connector 到 ZPA 云需 443 端口出站连通（无需入站端口）；App Connector 能解析内部应用 FQDN；用户端点部署 Zscaler Client Connector。
主要能力与用法：在应用网络中部署 App Connector，建立仅出站的加密隧道。RHEL/CentOS 安装：sudo yum install -y https://yum.private.zscaler.com/yum/el7/zpa-connector-latest.rpm；Ubuntu/Debian 通过 apt 源安装 zpa-connector。随后用门户获取的 provisioning key 配置：sudo /opt/zscaler/bin/zpa-connector configure --provision-key "PROVISIONING_KEY_FROM_PORTAL"，并启用、启动服务，用 status 验证；每站点至少部署两个以实现高可用。在管理门户定义 Server Groups 与 Application Segments（FQDN/IP 加 TCP 端口），配置访问策略（按用户组、应用段、设备态势、客户端类型、时间窗等条件允许或拒绝，并设默认拒绝），配置设备态势配置文件（如 CrowdStrike Falcon ZTA 评分、操作系统、磁盘加密、防火墙），为无客户端用户启用 Browser Access（HTTPS、自定义域、SAML、MFA、会话超时、剪贴板与文件传输控制），并通过 Log Streaming Service 将日志导出至 Splunk 等 SIEM。
限制与注意事项：App Connector 的 DNS 必须能解析应用段中所有内部 FQDN；通配符域段过宽可能影响性能；Browser Access 不支持所有 Web 应用框架（WebSocket 密集型应用可能仍需 Client Connector）；CrowdStrike ZTA 集成需先在所有端点部署 Falcon 传感器。具体收费、价格与平台细节资料暂未提供。