Access Gate verwendet das NTP-Protokoll zur Synchronisierung seiner Softwareuhr. Eine korrekte Uhrzeit ist entscheidend für Log-Zeitstempel, aber auch für die Authentifizierung von Zertifikaten und Tunneln. In der Regel ist keine NTP-Konfiguration erforderlich, da Access Gate sich automatisch konfiguriert, entweder (1) anhand der Informationen aus einem DHCP-Lease am Overlay-Port oder (2) durch Verwendung des Standardwerts time.google.com, falls kein NTP-Server angegeben ist.
Vorhandene Firewall-Regeln für den WAN-Zugang von Access Gate prüfen
NTP-Anfragen verlassen das Gerät über den Pfad, den Access Gate nutzt, um die Zeit vom Upstream zu erreichen (nicht über das Monitoring-, Admin- oder andere Interfaces). In einem Overlay-Deployment ist das das Overlay-Interface; wenn Access Gate in-line bereitgestellt wird und VLANs oder Trunks trägt und bereits im Datenpfad liegt, folgen die Anfragen nativ dem In-Line-Pfad. Stellen Sie in beiden Fällen sicher, dass Ihre vorhandenen Firewall-Regeln ausgehende WAN-Verbindungen für diesen Egress erlauben.
Um mögliche Konfigurationsfehler in den Logs zu suchen, verwenden Sie die Abfrage eq "timemngr@60446" [component] und eq "E" [level]:
Beispiel für die NTP-Konfiguration in einem Router:
/ip/dhcp-server-network
add address=100.65.0.0/29 gateway=100.65.0.1 ntp-server=100.65.0.2
Access Gate als Zeitquelle für OT
Die eigene Uhr des Gates genau zu halten ist nur die halbe Miete. Da Access Gate eine VNF ist, eine virtuelle Appliance, die auf x86-Hardware läuft, die Sie besitzen, ist Sicherheit von proprietären Boxen entkoppelt, und derselbe Host kann die sicheren Dienste betreiben, die OT einbinden. Genaue Zeit ist einer dieser Dienste: Sobald das Gate synchronisiert ist, kann es NTP an die ihm nachgelagerten Assets bereitstellen, sodass PLCs, HMIs und Historians alle bei der Uhrzeit übereinstimmen, ohne dass jedes einzelne ins Internet greifen muss.
Richten Sie nachgelagerte Assets auf das Access Gate als ihren NTP-Server aus. In einem Overlay-Deployment erreichen sie den Zeitdienst über das Overlay; in einem In-Line-Deployment, bei dem das Gate bereits die VLANs oder Trunks trägt, ist der Dienst nativ im Datenpfad erreichbar, ohne dass Overlay-Routing erforderlich ist. Zeit lokal bereitzustellen hält die Zeitstempel für Logs, Zertifikate und Tunnel-Authentifizierung im gesamten Bestand konsistent und entfernt eine ausgehende Abhängigkeit von jedem Gerät, das sonst seinen eigenen Pfad zu einer öffentlichen Zeitquelle bräuchte.
Zusammenfassung
Wir haben bestätigt, dass Access Gate einen NTP-Server über seinen Upstream-Pfad erreichen kann, die Firewall-Regeln für ausgehende WAN-Verbindungen geprüft und optional einen NTP-Server per DHCP vom Router verteilt. Setzen Sie dies ein, wenn Log-Zeitstempel falsch sind oder die Authentifizierung von Zertifikaten und Tunneln aufgrund einer abweichenden Uhr der Appliance fehlschlägt.