Das Konvergenzproblem
IT- und OT-Netzwerke wurden für völlig unterschiedliche Welten gebaut.
- Bei der IT dreht sich alles um Tempo und Flexibilität. Man denke an eine mobile Belegschaft, die sich vom Büro, von zu Hause oder aus der Airport-Lounge verbindet, und an die Agilität, neue Anwendungen auszurollen. Sicherheit ist eher "fließend": Endpoints werden gepatcht (immer pünktlich), Software wird ausgetauscht und Geräte werden ohne großes Aufheben ersetzt.
- Bei der OT dreht sich alles um Stabilität und Sicherheit. Von einer 2009 installierten Steuerung wird womöglich erwartet, dass sie fünfzehn Jahre lang tadellos läuft. Sie wurde nie gepatcht, nie neu gestartet, und wie bei einem Sauerteig-Ansatz fürchtet sich jeder ein wenig davor, was passiert, wenn sie stehen bleibt.
Über weite Teile ihrer Geschichte wurden diese beiden Bereiche getrennt gehalten, oft durch einen "Air Gap" zwischen ihnen.
Diese Trennung schrumpft. Predictive Maintenance verlagert Telemetrie aus der Fertigung kontinuierlich in Cloud-Analysen. Remote-Support bedeutet, dass ein Dienstleister einen Pfad zu seinen Systemen braucht, mitunter von einem anderen Kontinent. Regulatorische Regime wie NIS2, CMMC und NERC CIP verlangen inzwischen nachweisbare, auditierbare Kontrolle darüber, wer über beide Domänen hinweg auf welches Asset zugreift.
Konvergenz findet statt, und der schwierige Teil besteht darin, sie umzusetzen, ohne die Segmentierung der OT in ein flaches, durchgängig erreichbares Netzwerk kollabieren zu lassen.
Was Tailscale löst und wo sein Modell endet
Tailscale ist die erste Wahl für moderne IT-Umgebungen. Es ersetzt sperrige, herkömmliche VPNs durch ein sicheres, identitätsbasiertes Mesh-Netzwerk. Eine leichtgewichtige Control Plane erlaubt Admins, Sicherheitsrichtlinien zentral zu verwalten und sie an jedem einzelnen Node durchzusetzen, was direkte und effiziente Verbindungen zwischen Nutzern und Assets gewährleistet. Es ist verschlüsselt, effizient und (getreu seinem Ruf)... es funktioniert einfach.
Das ist das richtige Modell für die IT-Landschaft, in der Assets einen Agent ausführen können. An der OT-Grenze ist es aus einem strukturellen Grund schwieriger anzuwenden: Die dortigen Assets können keinen Client hosten. Tailscales eigene Antwort für diese Gerätegruppen ist der subnet router: ein Node, der Routen zu einem LAN-Segment ankündigt, damit Tailnet-Mitglieder Geräte erreichen können, die selbst nicht dem Mesh beitreten können. Mit ACLs und Grants lässt sich steuern, welche Personen welche Geräte und Ports hinter dem subnet router erreichen dürfen.
Was der subnet router nicht leisten kann, ist zu verändern, wie sich die OT-Geräte dahinter verhalten. Sobald ein autorisierter Nutzer Netzwerkzugriff hat, kommuniziert er direkt mit der Anlage...
Wo Access Gate das Tailscale-Modell erweitert
Trout Access Gate ist eine natürliche Erweiterung des Tailscale-Modells. Es meldet sich beim Tailnet als subnet router an und setzt anschließend Zero Trust innerhalb des Segments durch. Es ist agentenlos konzipiert, und genau das macht es vor Assets einsetzbar, die selbst nichts beisteuern können.
Drei Fähigkeiten machen den Unterschied aus:
Vermittelte Sessions statt direkter Netzwerkpfade. Access Gate arbeitet als Inline-Proxy. Authentifizierte Nutzer erreichen Ressourcen über das On-Premise-Gateway, nicht indem sie direkt im OT-Netzwerk sitzen. Das ermöglicht Protokoll-Härtung, zeitlich begrenzte Grants und Session-Recording bei Verbindungen zu Assets, die von Haus aus zu nichts davon in der Lage sind, und erweitert die SSH-Recording-Fähigkeiten von Tailscale auf RDP, VNC und mehrere OT-Protokolle.
PKI-gestützte Verschlüsselung innerhalb des LAN. Access Gate bringt eine Zertifizierungsstelle mit (oder integriert sich mit einer), sodass Verschlüsselung über Segmente und Assets hinweg skaliert werden kann, die nie dafür ausgelegt waren, sie auszuhandeln. Das schließt die Lücke zwischen einem identitätsverschlüsselten IT-Mesh und einem OT-Anlagen- oder Versorgungsnetz, in dem der Datenverkehr historisch unverschlüsselt geflossen ist.
Access-Management, das auch mit Handschuhen bedienbar ist. Zero Trust in die OT auszuweiten bedeutet, unterschiedlichste Nutzer zu unterstützen, von Bedienern im Feld bis zu Anlagentechnikern. Die Access-Gate-Oberfläche ist auf Einfachheit ausgelegt und erlaubt diesen Nutzern, Zugriff in ihren abgegrenzten Umgebungen nachvollziehbar zu gewähren und zu entziehen.
Die kombinierte Architektur
Zusammen schaffen Tailscale und Trout Access Gate einen durchgängigen Pfad vom Nutzer bis zum Asset. IT trifft OT, aber zu den jeweils eigenen Bedingungen, nahtlos und sicher.
- Tailscale trägt identitätsbasierten, Ende-zu-Ende-verschlüsselten Zugriff über alles hinweg, was einen Client ausführen kann, von Laptops und Servern bis zu Cloud-Workloads, und bringt den authentifizierten Nutzer bis an den Rand des Produktionsnetzwerks.
- Access Gate schließt diesen Pfad als subnet router ab, setzt dann die Autorisierung pro Asset durch, proxyt und protokolliert die Session und erweitert die PKI-basierte Verschlüsselung in das LAN, wohin kein Agent folgen kann.
Ein Nutzer authentifiziert sich einmal gegenüber dem Corporate-Identity-Provider. Tailscale leitet ihn effizient und sicher an die Anlagengrenze. Access Gate entscheidet Asset für Asset, was er erreichen darf, vermittelt die Verbindung über den Proxy und schreibt einen manipulationssicheren Audit-Record, der die Nachweisanforderungen von NIS2, CMMC L2 und NERC CIP erfüllt. Interne Mitarbeiter, externe Dienstleister und Geräte mit einer Nutzungsdauer von fünfzehn Jahren werden alle unter einem einzigen, konsistenten Richtlinienmodell geregelt.
Zero Trust in die OT ausweiten: Trout Access Gate und Tailscale.
Um die Integration einzurichten, folgen Sie dem Konfigurationsleitfaden für das Tailscale-VPN für Access Gate.