Access Gate mit Cisco Catalyst bereitstellen

Verbinden Sie ein Access Gate von Anfang bis Ende mit einem Cisco Catalyst Switch: zwei Ports in zwei Subnetzen, die Overlay-Route, DNS sowie quellbasiertes (PBR) oder zielbasiertes Routing, damit OT-Datenverkehr durch das Gate fließt.

Dieser Leitfaden führt einen Cisco Catalyst L3-Switch von „Access Gate im Rack" bis „OT-Datenverkehr fließt durch das Gate" – von Anfang bis Ende. Sie verbinden zwei Ports, geben dem Gate einen Platz im Netzwerk und legen fest, wie der Datenverkehr dorthin gelangt. An den OT-Geräten ändert sich nichts.

Was Sie aufbauen werden

Access Gate per zwei Ports mit einem vorhandenen Router verbunden: ein Admin-Port im Admin-VLAN und ein Protection-Port in einem dedizierten /29-Subnetz

Das Access Gate ist ein physisches Gerät, das Sie mit zwei Switch-Ports in zwei verschiedenen Subnetzen verbinden: einem Admin-Port in Ihrem Admin-VLAN und einem Protection-Port in einem kleinen dedizierten Subnetz, das den Datenverkehr trägt, den Sie durch das Gate leiten.

Referenz-Lab

Element	Adresse	Rolle
Admin-VLAN	`192.168.254.0/24`	Netzwerk, über das die Access Gate-Webkonsole erreichbar ist
Access Gate Admin-Port (5)	DHCP oder `192.168.254.50`	Management-Interface
Protection-Subnetz	`100.65.0.0/29`, Switch `100.65.0.1`	Point-to-Point-Verbindung zum Gate
Access Gate Protection-Port (1)	`100.65.0.6`	Datenverkehr ein/aus, Overlay und DNS-Resolver
Secure Twin Overlay	`100.64.0.0/16`	Paralleler Adressraum; jedes Asset erhält einen 1:1-Twin
OT-Subnetz	`192.168.1.0/24`, PLC `192.168.1.10` (Twin `100.64.1.10`)	Assets, unverändert
DNS-Zone	`secure.acme.corp`, Resolver `100.65.0.6`	Namen für Assets

1. Physische Konnektivität: zwei Ports, zwei Subnetze

Platzieren Sie den Admin-Port und den Protection-Port in verschiedenen Subnetzen, damit Management-Datenverkehr und gesteuerter Datenverkehr niemals eine Broadcast-Domain teilen. Das Admin-VLAN ist Ihr bestehendes Management-Netzwerk; das Protection-Subnetz ist ein dediziertes /29.

! Admin VLAN (management) and a dedicated protection subnet
vlan 254
 name ADMIN
vlan 65
 name AG-PROTECT
!
interface Vlan254
 ip address 192.168.254.1 255.255.255.0
interface Vlan65
 ip address 100.65.0.1 255.255.255.248
!
! Access Gate admin port  -> switchport in the admin VLAN
interface GigabitEthernet1/0/5
 description Access-Gate-ADMIN (port 5)
 switchport mode access
 switchport access vlan 254
!
! Access Gate protection port -> switchport in the protection VLAN
interface GigabitEthernet1/0/1
 description Access-Gate-PROTECT (port 1)
 switchport mode access
 switchport access vlan 65

Verbinden Sie Gi1/0/5 mit dem Access Gate Admin-Port (5) und Gi1/0/1 mit dem Protection-Port (1). Das Admin-Interface bezieht eine DHCP-Adresse aus dem Admin-VLAN oder fällt nach etwa einer Minute auf 10.0.0.1 zurück, falls kein DHCP-Server vorhanden ist. Legen Sie die Adresse über die Konsole statisch auf 192.168.254.50 fest, wenn Sie eine feste Adresse bevorzugen.

2. Dem Overlay eine Route geben

Das Secure Twin befindet sich im Overlay 100.64.0.0/16, dem parallelen Adressraum, in dem jedes Asset einen Twin erhält. Fügen Sie eine statische Route hinzu, damit jeder Datenverkehr, der für diesen Bereich bestimmt ist, über 100.65.0.6, den Protection-Port des Access Gate, weitergeleitet wird:

ip route 100.64.0.0 255.255.0.0 100.65.0.6

Zu lesen als: Für das Zielnetzwerk 100.64.0.0/16 wird das Paket an 100.65.0.6 gesendet. Von nun an verlässt alles, was an eine Twin-(Overlay-)Adresse adressiert ist, den Switch, trifft am Access Gate auf dessen Protection-Port ein, und das Gate leitet es per Proxy an das echte Gerät weiter. Das Ansprechen einer Twin-Adresse ist also das, was den Datenfluss durch das Gate zieht.

3. DNS auf das Access Gate zeigen lassen

Das Gate betreibt einen Resolver unter 100.65.0.6, der Asset-Namen in Overlay-Adressen auflöst. Sie können ihn für alles oder nur für eine Subdomain verwenden.

Alles: Den Resolver per DHCP an Clients übergeben:

ip dhcp pool OT
 network 192.168.1.0 255.255.255.0
 default-router 192.168.1.1
 dns-server 100.65.0.6

Nur Subdomain: Behalten Sie Ihren bestehenden DNS und leiten Sie nur secure.acme.corp mit einem Conditional Forwarder auf Ihrem Site-DNS-Server (Windows DNS, BIND oder Infoblox) an das Gate weiter. Siehe Configuring Access Gate DNS für das Split-DNS-Muster.

4. Datenverkehr durch das Gate steuern

Wählen Sie je nachdem, ob Sie ein ganzes Subnetz erfassen oder bestimmte Assets erreichen möchten.

Quellenbasiert (gesamtes OT-Subnetz): Leiten Sie per PBR alles, was aus dem OT-Subnetz stammt, per Policy-Route zum Gate. Eine einzige Regel bringt das Subnetz unter das Secure Twin, ohne ein Gerät anzufassen:
```
ip access-list extended OT-TRAFFIC
 permit ip 192.168.1.0 0.0.0.255 any
!
route-map STEER-OT permit 10
 match ip address OT-TRAFFIC
 set ip next-hop 100.65.0.6
!
interface Vlan1
 description OT SVI
 ip policy route-map STEER-OT
```
Funktionsweise: Die OT-TRAFFIC-ACL trifft jedes Paket, dessen Quelle das OT-Subnetz ist; die Route-Map setzt den Next-Hop dieser Pakete auf 100.65.0.6, den Protection-Port des Gates; die Anwendung der Route-Map auf das OT-SVI bewirkt, dass jedes aus dem OT-Bereich eintreffende Paket unabhängig von seinem Ziel per Policy-Route zum Gate geleitet wird. Dies ist die Catalyst-Umsetzung des quellenbasierten Routings.
Zielbasiert (bestimmte Assets): Erreichen Sie Assets über ihre Twin-Adressen durch die Overlay-Route aus Schritt 2, oder fügen Sie eine Route für ein bestimmtes Ziel über 100.65.0.6 hinzu. Verwenden Sie dies für die Steuerung einzelner Datenflüsse; siehe Gateway-NAT (L3).

Welche Richtungen dies abdeckt

Das Access Gate verarbeitet jedes Paket, das es erreicht, unabhängig davon, ob es an die Underlay-(Real-)IP oder die Overlay-(Twin-)IP des Assets adressiert ist, und in beide Richtungen. Die Abdeckung hängt daher ausschließlich davon ab, den Datenverkehr zum Gate zu bringen:

IT zu OT und geroutetes OT zu OT (Inter-VLAN): Das Asset über seine Twin-Adresse, seinen DNS-Namen oder über die quellenbasierte bzw. zielbasierte Route erreichen, die Sie soeben erstellt haben.
OT zu IT: Den ausgehenden Datenverkehr des OT-Subnetzes zum Gate steuern (quellenbasiertes Routing wie oben eingerichtet) oder das OT-Asset den IT-Dienst über seinen Twin erreichen lassen.
OT zu OT im gleichen Segment (kein L3-Hop): Routing sieht diesen Datenverkehr nicht; verwenden Sie stattdessen ARP-Proxying (L2).

5. Den vollständigen Pfad überprüfen

Erreichen Sie von einem OT-Gerät aus ein Ziel genau wie bisher. Der Switch leitet den Datenfluss nun beim Ausgang durch das Gate.

ping 192.168.2.20   ! from the OT device (192.168.1.10)

Auf dem Access Gate erscheint der Datenfluss unter seinem Enclave mit der Overlay-Identität des Geräts (100.64.1.10); Identität, Richtlinie und Verschlüsselung werden angewendet, bevor das Paket weitergeleitet wird, und die Antwort wird per NAT zurück an das echte Gerät übersetzt.

Sie können auch die Richtung IT zu OT testen: Erreichen Sie von einem IT-Client aus ein OT-Asset über seine Twin-Adresse oder seinen DNS-Namen (ping 100.64.1.10). Die Overlay-Route trägt das Paket zum Gate, das es per Proxy an das echte Gerät weiterleitet.

Zusammenfassung

Sie haben zwei Catalyst-Ports in zwei Subnetzen verkabelt (Admin-VLAN + Protection /29), das Gate unter 100.65.0.6 adressiert, das Overlay dorthin geroutet, DNS auf seinen Resolver gezeigt und den Datenverkehr per PBR oder Zielroute gesteuert. OT-Datenverkehr fließt nun durch das Access Gate, ohne dass ein Asset geändert wurde.