Access Gate mit Cisco Catalyst bereitstellen

Verbinden Sie ein Access Gate von Anfang bis Ende mit einem Cisco Catalyst Switch: zwei Ports in zwei Subnetzen, die Overlay-Route, DNS sowie quellenbasiertes oder zielbasiertes Routing, damit OT-Datenverkehr durch das Gate fließt.

Dieser Leitfaden führt einen Cisco Catalyst L3-Switch von „Access Gate im Rack" bis „OT-Datenverkehr fließt durch das Gate", von Anfang bis Ende. Sie verbinden zwei Ports, geben dem Gate einen Platz im Netzwerk und legen fest, wie der Datenverkehr dorthin gelangt. An den OT-Geräten ändert sich nichts.

Was Sie aufbauen werden

Access Gate per zwei Ports mit einem vorhandenen Router verbunden: ein Admin-Port im Admin-VLAN und ein Protection-Port in einem dedizierten /29-Subnetz

Das Access Gate ist ein physisches Gerät, das Sie mit zwei Switch-Ports in zwei verschiedenen Subnetzen verbinden: einem Admin-Port in Ihrem Admin-VLAN und einem Protection-Port in einem kleinen dedizierten Subnetz, das den Datenverkehr trägt, den Sie durch das Gate leiten.

Referenz-Lab

Element	Adresse	Rolle
Admin-VLAN	`192.168.254.0/24`	Zugriffspunkt für die Access Gate-Webkonsole
Access Gate Admin-Port (5)	DHCP oder `192.168.254.50`	Management-Interface
Protection-Subnetz	`100.65.0.0/29`, Switch `100.65.0.1`	Punkt-zu-Punkt-Verbindung zum Gate
Access Gate Protection-Port (1)	`100.65.0.6`	Datenverkehr ein/aus, Overlay und DNS-Resolver
Secure Twin Overlay	`100.64.0.0/16`	Paralleler Adressraum; jedes Asset erhält einen 1:1-Twin
OT-Subnetz	`192.168.1.0/24`, PLC `192.168.1.10` (Twin `100.64.1.10`)	Assets, unverändert
DNS-Zone	`secure.acme.corp`, Resolver `100.65.0.6`	Namen für Assets

1. Physische Verbindung: zwei Ports, zwei Subnetze

Platzieren Sie den Admin-Port und den Protection-Port in verschiedenen Subnetzen, damit Management-Datenverkehr und gesteuerter Datenverkehr niemals eine Broadcast-Domain teilen. Das Admin-VLAN ist Ihr bestehendes Management-Netzwerk; das Protection-Subnetz ist ein dediziertes /29.

! Admin VLAN (management) and a dedicated protection subnet
vlan 254
 name ADMIN
vlan 65
 name AG-PROTECT
!
interface Vlan254
 ip address 192.168.254.1 255.255.255.0
interface Vlan65
 ip address 100.65.0.1 255.255.255.248
!
! Access Gate admin port  -> switchport in the admin VLAN
interface GigabitEthernet1/0/5
 description Access-Gate-ADMIN (port 5)
 switchport mode access
 switchport access vlan 254
!
! Access Gate protection port -> switchport in the protection VLAN
interface GigabitEthernet1/0/1
 description Access-Gate-PROTECT (port 1)
 switchport mode access
 switchport access vlan 65

Verbinden Sie Gi1/0/5 mit dem Access Gate Admin-Port (5) und Gi1/0/1 mit dem Protection-Port (1). Das Admin-Interface bezieht eine DHCP-Adresse aus dem Admin-VLAN oder fällt nach etwa einer Minute auf 10.0.0.1 zurück, falls kein DHCP verfügbar ist; setzen Sie es über die Konsole statisch auf 192.168.254.50, wenn Sie eine feste Adresse bevorzugen.

2. Dem Overlay eine Route geben

Der Secure Twin befindet sich im Overlay 100.64.0.0/16, dem parallelen Adressraum, in dem jedes Asset einen Twin erhält. Fügen Sie eine statische Route hinzu, damit jeder Datenverkehr, der für diesen Bereich bestimmt ist, über 100.65.0.6, den Protection-Port des Access Gate, weitergeleitet wird:

ip route 100.64.0.0 255.255.0.0 100.65.0.6

Zu lesen als: Für das Zielnetzwerk 100.64.0.0/16 wird das Paket an 100.65.0.6 gesendet. Von nun an verlässt alles, was an eine Twin-(Overlay-)Adresse adressiert ist, den Switch, trifft am Access Gate auf dessen Protection-Port ein, und das Gate leitet es an das echte Gerät weiter. Das Ansprechen einer Twin-Adresse ist also das, was den Datenfluss durch das Gate zieht.

3. DNS auf das Access Gate zeigen lassen

Das Gate betreibt einen Resolver unter 100.65.0.6, der Asset-Namen in Overlay-Adressen auflöst. Sie können ihn für alles oder nur für eine Subdomain verwenden.

Alles: Übergeben Sie den Resolver per DHCP an Clients:

ip dhcp pool OT
 network 192.168.1.0 255.255.255.0
 default-router 192.168.1.1
 dns-server 100.65.0.6

Nur Subdomain: Behalten Sie Ihren bestehenden DNS und leiten Sie nur secure.acme.corp mit einem Conditional Forwarder auf Ihrem Site-DNS-Server (Windows DNS, BIND oder Infoblox) an das Gate weiter. Siehe Configuring Access Gate DNS für das Split-DNS-Muster.

4. Datenverkehr durch das Gate steuern

Zwei Wege, Datenverkehr zum Gate zu bringen. Quellbasiertes Routing sichert, was von einem Netzwerk kommt: Sie filtern danach, wo das Paket gestartet ist. Zielbasiertes Routing sichert, was zu einem Asset geht: Sie filtern nach dem Ziel. Nutzen Sie das eine, das andere oder beides, je nachdem, was Sie schützen wollen. In beiden Fällen übersetzt das Access Gate zwischen der realen Adresse des Assets und seinem Twin.

Quellbasiert: sichern, was aus dem OT-Subnetz kommt

ip access-list extended OT-TRAFFIC
 permit ip 192.168.1.0 0.0.0.255 any
!
route-map STEER-OT permit 10
 match ip address OT-TRAFFIC
 set ip next-hop 100.65.0.6
!
interface Vlan1
 description OT SVI
 ip policy route-map STEER-OT

Jedes Paket, das das OT-Subnetz verlässt, geht zum Gate, unabhängig vom Ziel. Eine Regel bringt das gesamte Subnetz unter den Secure Twin, ohne ein Gerät anzufassen. Das ist die Catalyst-Form des quellenbasierten Routings.

Zielbasiert: sichern, was zu einem Asset geht

! Die Overlay-Route aus Schritt 2 deckt bereits alle Twins ab
ip route 100.64.0.0 255.255.0.0 100.65.0.6
!
! Oder nur ein Asset
ip route 100.64.1.10 255.255.255.255 100.65.0.6

Alles, was an einen Twin adressiert ist, geht zum Gate, unabhängig vom Absender. Kein PBR nötig, das ist gewöhnliches zielbasiertes Routing. Siehe Gateway-NAT (L3).

5. Den vollständigen Pfad überprüfen

Erreichen Sie von einem OT-Gerät aus ein Ziel genau wie zuvor. Der Switch leitet den Datenfluss nun beim Ausgang durch das Gate.

ping 192.168.2.20   ! from the OT device (192.168.1.10)

Auf dem Access Gate erscheint der Datenfluss unter seinem Enclave mit der Overlay-Identität des Geräts (100.64.1.10); Identität, Richtlinie und Verschlüsselung werden angewendet, bevor das Paket weitergeleitet wird, und die Antwort wird per NAT zurück an das echte Gerät übersetzt.

Sie können auch die Richtung IT zu OT testen: Erreichen Sie von einem IT-Client aus ein OT-Asset über seine Twin-Adresse oder seinen DNS-Namen (ping 100.64.1.10). Die Overlay-Route trägt dieses Paket zum Gate, das es an das echte Gerät weiterleitet.

Was wo liegt

Der Catalyst enthält genau eine Sache: eine Regel, die sinngemäß besagt: „Diese Pakete werden an diesen Next-Hop übergeben." Ob sie auf der Quelle oder auf dem Ziel aufsetzt, sie ist statisch.

Alles andere liegt auf dem Access Gate: Authentifizierung, die Enclave-ACLs, Proxying, Credential-Injection, Sitzungsaufzeichnung, TLS-Terminierung und Logging. Nichts davon ist auf einem Catalyst 9300 ausdrückbar, und nichts davon gehört dorthin.

Diese Trennung sollte dem Netzwerkteam gegenüber klar ausgesprochen werden, denn „wir müssen Ihren Core-Switch konfigurieren" klingt beunruhigend, bis man sieht, dass es sich um eine Übergaberegel handelt, nicht um eine Policy-Engine. Ihr Change-Control-Prozess sieht eine Route-Map, einmalig.

Zusammenfassung

Sie haben zwei Catalyst-Ports in zwei Subnetzen verkabelt (Admin-VLAN + Protection /29), das Gate unter 100.65.0.6 adressiert, das Overlay dorthin geroutet, DNS auf seinen Resolver gezeigt und den Datenverkehr nach Quelle, nach Ziel oder nach beidem gesteuert. OT-Datenverkehr fließt nun durch das Access Gate, ohne dass sich an einem Asset etwas ändert.