Jede Maschine sicher erreichen
mit Tailscale und Access Gate.
Personal und Dienstleister erreichen IT- und OT-Maschinen ohne ein VPN, das das ganze Netz öffnet. Tailscale stellt den verschlüsselten Tunnel. Access Gate prüft die Identität, begrenzt jede Sitzung auf eine Maschine und zeichnet sie für das Audit auf.
So funktioniert dieses Design.
Fernzugriff ist einer der Dienste, die das Access Gate betreibt. Hier arbeitet es mit Tailscale zusammen und gibt privilegierten Zugriff auf IT und OT. Tailscale liefert ein WireGuard-Overlay mit verschlüsselten Peer-to-Peer-Tunneln, ohne Einrichtung pro Verbindung. Access Gate ergänzt Identitätsprüfung, Brokering privilegierter Sitzungen, Sicht auf OT-Maschinen und einen zentralen Audit-Trail. Dieselbe Appliance betreibt auch Protokoll-Gateways, DNS und Zeit, einen Historian und einen Update-Server.
Eine verschlüsselte Verbindung mit Tailscale.
Tailscale stellt die verschlüsselte Verbindung mit WireGuard-Tunneln bereit, anstelle eines klassischen VPN-Konzentrators. Die Integration mit Access Gate läuft über die API.
Erst MFA, dann eine vermittelte Sitzung.
Access Gate zeigt für jede Sitzung eine MFA-Seite und leitet die Verbindung als Proxy weiter. Benutzer erhalten nie direkten Netzwerkzugriff auf Maschinen.
Zugriff pro Benutzer und Maschine.
Access-Gate-Enklaven segmentieren den LAN-Zugriff pro Benutzer, Ressource und Protokoll. Niemand sieht ein flaches Netz.
Ein vollständiger Audit-Trail.
Jede Fernsitzung wird aufgezeichnet und protokolliert. Access Gate sendet Ereignisse, Anomalien und Sitzungsalarme an Ihr SIEM.
Drei Fernzugriffs-Flüsse.
Das Diagramm zeigt drei Flüsse. Remote-Benutzer kommen über Firewall oder Router herein. Dienstleister verbinden sich über Tailscale direkt mit dem Access Gate. Logs gehen an ein Cloud-SIEM. Das Access Gate sitzt im LAN und vermittelt jede Sitzung zu IT- und OT-Subnetzen.
(1) Ein Remote-Benutzer erreicht eine Datenbank.
• Fernbenutzer öffnet Tailscale-Client, Tunnel zu Access Gate aufgebaut • Verbindung zu Access Gate-Proxy geleitet • MFA-Splash-Seite präsentiert, Benutzer authentifiziert sich • Sitzung zur Datenbank erweitert, kein direkter Netzwerkzugriff für den Benutzer • Sitzung aufgezeichnet und protokolliert
(2) Ein Dienstleister erreicht ein Leitsystem.
• Fernlieferant öffnet Tailscale-Client, Tunnel zu Access Gate aufgebaut • Access Gate wendet ACL an, präsentiert MFA-Splash-Seite + VDI-Bildschirm • Lieferant authentifiziert sich • Sitzung nur zum Steuerungssystem erweitert • Sitzung aufgezeichnet und im Access Gate-Audit-Trail protokolliert
(3) Logs gehen an ein Cloud-SIEM.
• Optionaler ICS-Stream-Protokoll zu Access Gate • Access Gate skimmt Protokolle und verarbeitet Proxy-Protokolle in rsyslog-Format • Access Gate baut Tunnel zu Cloud-SIEM auf und leitet Protokolle weiter
So deckt es Ihre Audit-Anforderungen ab.
Die wichtigsten Anforderungen an den Fernzugriff und wie Access Gate und Tailscale jede erfüllen.
| Anforderung | Wie Access Gate + Tailscale es abdeckt | |
|---|---|---|
| Multi-Faktor-Authentifizierung bei Fernsitzungen | Tailscale-Geräteauthentifizierung & Access Gate-Splash-Seite für Multi-Faktor-Authentifizierung | ✓ |
| Least-Privilege & rollenbasierte Zugriffskontrolle | Berechtigungsmatrix in Access Gate setzt Regeln pro Benutzer, pro Ressource, pro Protokoll durch | ✓ |
| Privilegiertes Zugriffsmanagement (PAM) identifiziert und proxied | Privilegierte Sitzungen werden durch Access Gate proxied; kein direkter Netzwerkzugriff auf OT-Endpunkte | ✓ |
| Sitzungsaufzeichnung & Audit-Trail für privilegierte Sitzungen | Access Gate protokolliert Sitzungsereignisse; an SIEM weitergeleitet | ✓ |
| Verschlüsselter Fernzugriff (Schutz während der Übertragung) | WireGuard (Tailscale) bietet End-to-End- oder End-to-Hub-Verschlüsselung | ✓ |
| Mikrosegmentierung | Access Gate-Enklavenmodell segmentiert LAN-Zugriff | ✓ |
| Überwachung & Alarmierung bei Fernzugriffsereignissen | Access Gate sendet Authentifizierungsereignisse, Anomalien, Sitzungswarnungen an SIEM | ✓ |
| Kontinuierliches Verbindungsinventar | Access Gate protokolliert jede Fernzugriffssitzung | ✓ |
Laden Sie die Fernzugriffs-Architektur herunter.
Erhalten Sie das Architekturdiagramm und die Anforderungs-Checkliste in einem Paket.
Ein Gateway.
Lieber einfacher einsteigen? Ein Access Gate deckt IT und OT ab, und Ihr Perimeter bleibt unverändert.
Zwei Gateway-Schichten.
Brauchen Sie getrennte Kontrollzonen für IT und OT? Das Zwei-Schichten-Design ergänzt eine zweite Schutzschicht.
Fragen zum sicheren Fernzugriff.
Maschine pro Sitzung. Tailscale oder Ihr bestehendes VPN transportiert den Verkehr, und Access Gate begrenzt jede Sitzung auf eine freigegebene Maschine.
Nein. Access Gate arbeitet mit dem VPN, das Sie bereits nutzen. Dieses Design verwendet Tailscale als verschlüsselte Verbindung, und Tailscale kann neben Ihrem bestehenden VPN laufen. Sie stellen Benutzer Schritt für Schritt um. Laufen alle Fernsitzungen über Tailscale und Access Gate, können Sie den alten VPN-Konzentrator abschalten oder behalten.
Dienstleister verbinden sich über Tailscale direkt mit dem Access Gate (Fluss 2). Access Gate wendet eigene Regeln für Dienstleister an, verlangt MFA, zeigt einen VDI-Bildschirm und begrenzt die Sitzung auf benannte Leitsysteme. Dienstleister erhalten nie breiten LAN-Zugriff.
Access Gate führt Protokollinspektion auf industriellen Protokollen (Modbus, EtherNet/IP, OPC-UA) und Standard-IT-Protokollen (RDP, SSH, HTTP/S) durch. Sitzungen werden unterbrochen und über den Proxy neu aufgebaut für vollständige Sichtbarkeit.
Ja. Access Gate wandelt Proxy-Logs ins rsyslog-Format um und öffnet einen Tunnel zu Ihrem Cloud-SIEM. Es unterstützt Standard-Syslog-Weiterleitung und die direkte Integration mit gängigen SIEM-Plattformen.