Diese Anleitung führt eine Meraki MX Security Appliance (mit einem MS-Switch) von „Access Gate im Rack" bis „OT-Datenverkehr fließt durch das Gate" – vollständig über das Dashboard. Sie verbinden zwei Ports, weisen dem Gate einen Platz im Netzwerk zu und legen fest, wie der Datenverkehr dorthin gelangt. An den OT-Geräten ändert sich nichts.
Was Sie aufbauen werden
Das Access Gate ist eine physische Appliance, die Sie mit zwei Ports in zwei verschiedenen Subnetzen verbinden: einem Admin-Port in Ihrem Admin-VLAN und einem Protection-Port in einem kleinen dedizierten Subnetz, das den Datenverkehr trägt, den Sie durch das Gate leiten.
Referenz-Lab
| Element | Adresse | Rolle |
|---|---|---|
| Admin-VLAN | 192.168.254.0/24 (VLAN 254) | Zugriff auf die Access Gate Web-Konsole |
| Access Gate Admin-Port (5) | DHCP oder 192.168.254.50 | Management-Interface |
| Protection-Subnetz | 100.65.0.0/29 (VLAN 65), MX 100.65.0.1 | Point-to-Point-Verbindung zum Gate |
| Access Gate Protection-Port (1) | 100.65.0.6 | Datenverkehr ein/aus, Overlay und DNS-Resolver |
| Secure Twin Overlay | 100.64.0.0/16 | Paralleler Adressraum; jedes Asset erhält einen 1:1-Twin |
| OT-Subnetz | 192.168.1.0/24, PLC 192.168.1.10 (Twin 100.64.1.10) | Assets, unverändert |
| DNS-Zone | secure.acme.corp, Resolver 100.65.0.6 | Namen für Assets |
1. Physische Konnektivität: zwei Ports, zwei VLANs
Legen Sie den Admin-Port und den Protection-Port in verschiedene VLANs, damit Management-Datenverkehr und gesteuerter Datenverkehr niemals eine Broadcast-Domain teilen.
- VLANs erstellen unter Security & SD-WAN → Configure → Addressing & VLANs:
- VLAN 254:
192.168.254.0/24, MX-IP192.168.254.1(Admin). - VLAN 65:
100.65.0.0/29, MX-IP100.65.0.1(Protection).
- VLAN 254:
- Switch-Ports zuweisen unter Switch → Ports am MS:
- Access-Port in VLAN 254 → Kabel zum Access Gate Admin-Port (5).
- Access-Port in VLAN 65 → Kabel zum Access Gate Protection-Port (1).
Das Admin-Interface bezieht eine DHCP-Lease aus dem Admin-VLAN oder fällt nach etwa einer Minute auf 10.0.0.1 zurück, falls keine vorhanden ist. Setzen Sie es über die Konsole auf statisch 192.168.254.50, wenn Sie eine feste Adresse bevorzugen.
2. Route für das Overlay einrichten
Das Secure Twin befindet sich im Overlay 100.64.0.0/16, dem parallelen Adressraum, in dem jedes Asset einen Twin erhält. Fügen Sie eine statische Route unter Security & SD-WAN → Configure → Routing (Static routes) hinzu, damit jeder Datenverkehr für diesen Bereich an 100.65.0.6, den Protection-Port des Access Gate, weitergeleitet wird:
- Subnetz:
100.64.0.0/16 - Next-Hop-IP:
100.65.0.6
Ab diesem Punkt wird jeder Datenverkehr, der an eine Twin-Adresse (Overlay) gerichtet ist, über den Protection-Port an das Access Gate gesendet, das ihn stellvertretend an das reale Gerät weiterleitet. Das Ansprechen einer Twin-Adresse ist damit der Auslöser, der den Datenfluss durch das Gate leitet.
3. DNS auf das Access Gate zeigen lassen
Das Gate betreibt einen Resolver unter 100.65.0.6, der Asset-Namen in Overlay-Adressen auflöst. Sie können ihn für alles oder nur für eine Subdomain verwenden.
- Alles: Bearbeiten Sie unter Addressing & VLANs die DHCP-Einstellungen des OT-VLANs und setzen Sie Custom nameservers auf
100.65.0.6. Jedes Gerät in diesem VLAN löst dann über das Gate auf. - Nur Subdomain: Der MX unterstützt kein zonenbasiertes Conditional Forwarding. Behalten Sie daher Ihren vorhandenen DNS und fügen Sie auf Ihrem lokalen DNS-Server (Windows DNS, BIND oder Infoblox) einen Conditional Forwarder für
secure.acme.corp → 100.65.0.6hinzu. Siehe Configuring Access Gate DNS.
4. Datenverkehr durch das Gate steuern
Der MX bietet kein allgemeines quellenbasiertes Policy-Routing. Auf Meraki steuern Sie daher nach Zieladresse – genau das, wofür das Secure Twin konzipiert ist.
- Zielbasiert (empfohlen auf Meraki): Die Overlay-Staticroute aus Schritt 2 leitet den gesamten
100.64.0.0/16-Datenverkehr durch das Gate. Sprechen Sie jedes Asset über seine Twin-Adresse oder seinen DNS-Namen an, und der Datenfluss geht durch das Access Gate. Dies entspricht dem Muster Gateway-NAT (L3). - Pro Asset über Twin-IPs: Wenn Sie die Adressierung eines Assets ändern können, migriert die IP-Änderung ein Gerät nach dem anderen ohne jede Routing-Änderung.
5. Den vollständigen Pfad überprüfen
Sprechen Sie von einem OT-Gerät aus ein Asset über seinen DNS-Namen oder seine Twin-Adresse an:
ping plc-line-1.secure.acme.corp # from a client that resolves via 100.65.0.6
Auf dem Access Gate erscheint der Datenfluss unter seinem Enclave mit der Overlay-Identität des Geräts (100.64.1.10); Identität, Richtlinie und Verschlüsselung werden angewendet, bevor das Paket weitergeleitet wird, und die Antwort wird per NAT an das reale Gerät zurückgeleitet.
Zusammenfassung
Sie haben zwei VLANs auf dem MX erstellt, das Gate mit zwei MS-Ports in zwei Subnetzen verbunden (Admin-VLAN + Protection-/29), das Gate unter 100.65.0.6 adressiert, das Overlay dorthin geroutet, DNS auf seinen Resolver gezeigt und den Datenverkehr zielbasiert gesteuert. OT-Datenverkehr fließt nun durch das Access Gate, ohne dass sich an einem Asset etwas ändert.