Access Gate mit Cisco Catalyst bereitstellen

Verbinden Sie Access Gate in vier Schritten mit einem Cisco Catalyst Switch: zwei Ports in einem dedizierten VLAN, eine Route, eine Regel, die den Datenverkehr Ihrer Maschinen durch das Gate leitet, und eine Überprüfung. An den Maschinen ändert sich nichts.

Auf einem Cisco Catalyst verbinden Sie Access Gate über zwei Switch-Ports und fügen zwei Routing-Zeilen hinzu: eine Route für die Twin-Adressen und eine Regel, die ein gesamtes Maschinen-Subnetz durch das Gate leitet. An den Maschinen ändert sich nichts, und das Entfernen der Regel macht alles rückgängig.

Was Sie aufbauen werden

Access Gate per zwei Ports mit einem vorhandenen Switch verkabelt: ein Admin-Port im Admin-VLAN und ein Protection-Port in einem dedizierten /29-Subnetz

Die Beispiele verwenden diese Adressen. Ersetzen Sie sie durch Ihre eigenen.

Was	Beispiel
Admin VLAN	VLAN 254, `192.168.254.0/24`
Dediziertes VLAN für das Gate	VLAN 65, `100.65.0.0/29`: Switch `100.65.0.1`, Gate `100.65.0.6`
Twin-Adressen	`100.64.0.0/16`
Ihr Maschinen-Subnetz	`192.168.1.0/24`, auf `interface Vlan1`

1. Zwei Ports verbinden

Erstellen Sie das dedizierte VLAN und weisen Sie dann je einen Port jedem VLAN zu.

vlan 65
 name AG-PROTECT
interface Vlan65
 ip address 100.65.0.1 255.255.255.248
!
interface GigabitEthernet1/0/5
 description Access-Gate-ADMIN
 switchport mode access
 switchport access vlan 254
!
interface GigabitEthernet1/0/1
 description Access-Gate-PROTECT
 switchport mode access
 switchport access vlan 65

Verkabeln Sie Gi1/0/5 mit dem Access Gate Admin-Port (5) und Gi1/0/1 mit dem Protection-Port (1). Der Admin-Port bezieht eine Adresse aus Ihrem Admin-VLAN per DHCP oder verwendet nach etwa einer Minute 10.0.0.1, falls kein DHCP-Server vorhanden ist.

2. Route für Twin-Adressen hinzufügen

Access Gate weist jeder Maschine eine Twin-Adresse in 100.64.0.0/16 zu. Teilen Sie dem Switch mit, wo dieser Bereich liegt:

ip route 100.64.0.0 255.255.0.0 100.65.0.6

Diese Adressen werden noch nicht verwendet, daher ändert sich dadurch allein nichts. Diese Route ermöglicht es, dass Antworten nach Schritt 3 durch das Gate zurückkommen.

3. Umschalten mit einer Regel

Vorher und nachher mit einer Regel auf Ihrem Router: Der Router schickt den Verkehr der Maschine zuerst zu Access Gate, und ohne die Regel gilt wieder der alte Weg

Diese Regel leitet alles, was aus Ihrem Maschinen-Subnetz kommt, zuerst zum Gate, unabhängig vom Ziel:

ip access-list extended MACHINES
 permit ip 192.168.1.0 0.0.0.255 any
!
route-map TO-ACCESS-GATE permit 10
 match ip address MACHINES
 set ip next-hop 100.65.0.6
!
interface Vlan1
 ip policy route-map TO-ACCESS-GATE

Die Zeile ip policy am Maschinen-VLAN ist der Umschalter. Ihre Maschinen behalten ihre Adresse, ihr Gateway und ihre Einstellungen.

Rückgängig machen: interface Vlan1, dann no ip policy route-map TO-ACCESS-GATE.

4. Funktionsprüfung

Rufen Sie von einer Maschine aus etwas auf, mit dem sie normalerweise kommuniziert, genau wie zuvor:

ping 192.168.2.20

In der Access Gate-Konsole erscheint der Datenfluss nun unter dem zugehörigen Enclave. Access Gate startet im Trockenlauf-Modus und zeigt daher an, was es blockieren würde, ohne tatsächlich etwas zu blockieren, bis Sie die Regeln freigeben.

Bei einem großen Hersteller in North Carolina wurde eine laufende Produktionslinie auf diese Weise in unter einer Minute hinter Access Gate verschoben, auf dem vorhandenen Cisco Switch. Die Produktion lief dabei weiter.

Weitere Optionen

Eine einzelne Maschine statt eines ganzen Subnetzes schützen

Leiten Sie nur den Datenverkehr zur Twin-Adresse einer einzelnen Maschine über das Gate, mit einer Host-Route:

ip route 100.64.1.10 255.255.255.255 100.65.0.6

Personen und Systeme erreichen diese Maschine dann über ihre Twin-Adresse (100.64.1.10) oder ihren Namen. Siehe Eine Maschine schützen, die Sie über ihre Adresse erreichen.

Maschinen per Namen erreichen

Access Gate beantwortet DNS-Anfragen unter 100.65.0.6 und gibt jeder Maschine einen Namen, der auf ihre Twin-Adresse zeigt. Übergeben Sie diesen Resolver entweder per DHCP an ein VLAN:

ip dhcp pool OT
 network 192.168.1.0 255.255.255.0
 default-router 192.168.1.1
 dns-server 100.65.0.6

oder behalten Sie Ihr DNS und leiten Sie eine Subdomain an das Gate weiter. Siehe Ihren Maschinen einfache Namen geben.

Welchen Datenverkehr die Regel abdeckt

Die Regel in Schritt 3 erfasst alles, was das Maschinen-Subnetz verlässt: Maschinen zu IT und Maschinen zu anderen VLANs. Datenverkehr, der aus der IT in das Subnetz eingeht, wird erfasst, wenn er an eine Twin-Adresse oder einen Namen gesendet wird (die Route aus Schritt 2 übernimmt das bereits).

Maschinen, die miteinander im selben VLAN kommunizieren, ohne zwischengeschalteten Router, passieren das Routing des Switches nie. Für diese Fälle siehe Datenverkehr auf Ihren Switches umleiten.

Einen gerouteten Port statt eines VLANs verwenden

Ersetzen Sie das Vlan65-Interface durch einen gerouteten Port: interface Gi1/0/1, no switchport, ip address 100.65.0.1 255.255.255.248. Das Gate bleibt unter 100.65.0.6.

Was auf dem Switch verbleibt

Der Switch hält eine Route und eine Regel, einmalig konfiguriert. Wer welche Maschine erreichen darf, Anmeldung, Sitzungsaufzeichnung, Verschlüsselung und Protokolle, all das liegt auf Access Gate. Wenn das Netzwerkteam fragt, was sich am Core-Switch ändert, lautet die Antwort: eine Route-Map, einmalig.