Access Gate mit Fortinet FortiGate bereitstellen

Diese Anleitung führt ein Fortinet FortiGate von „Access Gate im Rack" bis „OT-Datenverkehr fließt durch das Gate" – von Anfang bis Ende. Sie verbinden zwei Ports, geben dem Gate einen Platz im Netzwerk und wählen, wie der Datenverkehr dorthin gelangt. An den OT-Geräten ändert sich nichts. Die CLI wird gezeigt; jeder Schritt hat ein Äquivalent unter Network und Policy & Objects in der GUI.

Was Sie aufbauen werden

Das Access Gate ist ein physisches Gerät, das Sie mit zwei Ports in zwei verschiedenen Subnetzen verbinden: einem Admin-Port in Ihrem Admin-VLAN und einem Protection-Port in einem kleinen dedizierten Subnetz, das den Datenverkehr trägt, den Sie durch das Gate leiten.

Referenz-Lab

1. Physische Konnektivität: zwei Ports, zwei Subnetze

Platzieren Sie den Admin-Port und den Protection-Port in verschiedenen Subnetzen, damit Management-Datenverkehr und gesteuerter Datenverkehr niemals eine Broadcast-Domain teilen. Verwenden Sie zwei physische Ports (oder zwei VLAN-Subinterfaces an einem Trunk).

config system interface
    edit "admin"
        set ip 192.168.254.1 255.255.255.0
        set allowaccess ping https ssh
        set interface "port5"
        set vlanid 254
    next
    edit "ag-protect"
        set ip 100.65.0.1 255.255.255.248
        set allowaccess ping
        set interface "port1"
        set vlanid 65
    next
end

Verbinden Sie den FortiGate-Port, der admin trägt, mit dem Access Gate Admin-Port (5) und den Port, der ag-protect trägt, mit dem Protection-Port (1). Das Admin-Interface bezieht eine DHCP-Lease vom Admin-VLAN oder fällt nach etwa einer Minute auf 10.0.0.1 zurück, wenn keine vorhanden ist; setzen Sie es über die Konsole statisch auf 192.168.254.50, wenn Sie eine feste Adresse bevorzugen.

2. Dem Overlay eine Route geben

Das Secure Twin befindet sich im 100.64.0.0/16-Overlay, dem parallelen Adressraum, in dem jedes Asset einen Twin erhält. Fügen Sie eine statische Route hinzu, damit jeder Datenverkehr, der für diesen Bereich bestimmt ist, über 100.65.0.6, den Protection-Port des Access Gate, weitergeleitet wird (über das ag-protect-Interface):

config router static
    edit 0
        set dst 100.64.0.0 255.255.0.0
        set gateway 100.65.0.6
        set device "ag-protect"
    next
end

Zu lesen als: Für das Zielnetzwerk 100.64.0.0/16 wird das Paket an 100.65.0.6 über ag-protect gesendet. Ab diesem Punkt verlässt jeder Datenverkehr, der an eine Twin-(Overlay-)Adresse gerichtet ist, das FortiGate über den Protection-Link, kommt am Access Gate an, und das Gate leitet ihn per Proxy an das echte Gerät weiter. Das Ansprechen einer Twin-Adresse ist also das, was den Datenfluss durch das Gate zieht.

Fügen Sie eine Firewall-Richtlinie hinzu, die dem OT-Subnetz den Zugriff auf ag-protect (und zurück) erlaubt, damit das FortiGate den gesteuerten Datenverkehr weiterleitet statt verwirft.

3. DNS auf das Access Gate zeigen lassen

Das Gate hostet einen Resolver unter 100.65.0.6, der Asset-Namen in Overlay-Adressen auflöst. Sie können ihn für alles oder nur für eine Subdomain verwenden.

• Alles: Setzen Sie den Resolver im OT-DHCP-Scope:

  config system dhcp server
      edit 1
          set interface "ot"
          set dns-service specify
          set dns-server1 100.65.0.6
          config ip-range
              edit 1
                  set start-ip 192.168.1.100
                  set end-ip 192.168.1.200
              next
          end
      next
  end
  

• Nur Subdomain: Leiten Sie nur secure.acme.corp mit einer FortiGate-DNS-Datenbankzone im forward-Modus an das Gate weiter, oder fügen Sie einen Conditional Forwarder auf Ihrem Site-DNS-Server hinzu. Siehe Configuring Access Gate DNS.

4. Datenverkehr durch das Gate steuern

Wählen Sie je nachdem, ob Sie ein ganzes Subnetz erfassen oder bestimmte Assets erreichen möchten.

• Quellenbasiert (gesamtes OT-Subnetz): Eine FortiGate-Policy Route trifft anhand der Quelle zu und sendet das Subnetz unabhängig vom Ziel an das Gate. Eine Regel bringt das Subnetz unter das Secure Twin, ohne ein Gerät anzufassen:

  config router policy
      edit 1
          set input-device "ot"
          set src "192.168.1.0/255.255.255.0"
          set gateway 100.65.0.6
          set output-device "ag-protect"
      next
  end
  

  Was dies bewirkt: Die Policy Route trifft auf Datenverkehr zu, dessen Quelle das OT-Subnetz ist, und leitet ihn unabhängig vom Ziel an 100.65.0.6 über ag-protect weiter – eine Regel zieht also das gesamte Subnetz durch das Gate. Dies ist die FortiGate-Form des quellenbasierten Routings.

• Zielbasiert (bestimmte Assets): Erreichen Sie Assets über ihre Twin-Adressen durch die Overlay-Route aus Schritt 2. Verwenden Sie dies für die Steuerung einzelner Datenflüsse; siehe Gateway-NAT (L3).

5. Den vollständigen Pfad überprüfen

Erreichen Sie von einem OT-Gerät aus ein Ziel genau wie zuvor. Das FortiGate leitet den Datenfluss nun beim Ausgang durch das Gate.

ping 192.168.2.20   # from the OT device (192.168.1.10)

Auf dem Access Gate erscheint der Datenfluss unter seinem Enclave mit der Overlay-Identität des Geräts (100.64.1.10); Identität, Richtlinie und Verschlüsselung werden angewendet, bevor das Paket weitergeleitet wird, und die Antwort wird per NAT zurück an das echte Gerät übersetzt.

Sie können auch die Richtung IT zu OT testen: Erreichen Sie von einem IT-Client aus ein OT-Asset über seine Twin-Adresse oder seinen DNS-Namen (ping 100.64.1.10). Die Overlay-Route trägt das Paket zum Gate, das es per Proxy an das echte Gerät weiterleitet.

Zusammenfassung

Sie haben zwei FortiGate-Interfaces in zwei Subnetzen konfiguriert (Admin-VLAN + Protection /29), das Gate unter 100.65.0.6 platziert, das Overlay dorthin geroutet, DNS auf seinen Resolver gezeigt und den Datenverkehr mit einer Policy Route oder einer Zielroute gesteuert. OT-Datenverkehr fließt nun durch das Access Gate, ohne dass ein Asset geändert wurde.

Verwandte Themen

• Deploy Secure Twin with Source-Based Routing
• Configuring Access Gate DNS
• Deploy Secure Twin via Gateway NAT (L3)
• Choosing a Secure Twin deployment