Auf einem Cisco Meraki MX verbinden Sie Access Gate über zwei Ports, fügen eine statische Route für die Twin-Adressen hinzu und richten eine quellenbasierte Route ein, die den Datenverkehr Ihres Maschinen-VLANs zum Gate leitet. An den Maschinen ändert sich nichts, und das Löschen der quellenbasierten Route macht alles rückgängig.
Was Sie aufbauen werden
Die Beispiele verwenden diese Adressen. Ersetzen Sie sie durch Ihre eigenen.
| Was | Beispiel |
|---|---|
| Admin-VLAN | VLAN 254, 192.168.254.0/24, MX 192.168.254.1 |
| Dediziertes VLAN für das Gate | VLAN 65, 100.65.0.0/29: MX 100.65.0.1, Gate 100.65.0.6 |
| Twin-Adressen | 100.64.0.0/16 |
| Ihr Maschinensubnetz | 192.168.1.0/24, PLC 192.168.1.10 (Twin-Adresse 100.64.1.10) |
| Maschinennamen | secure.acme.corp, beantwortet vom Gate unter 100.65.0.6 |
1. Zwei Ports verbinden
- Erstellen Sie unter Security & SD-WAN → Configure → Addressing & VLANs zwei VLANs:
- VLAN 254:
192.168.254.0/24, MX-IP192.168.254.1(Admin). - VLAN 65:
100.65.0.0/29, MX-IP100.65.0.1(das eigene VLAN des Gates).
- VLAN 254:
- Setzen Sie unter Switch → Ports am MS einen Access-Port in VLAN 254 und einen in VLAN 65.
- Verbinden Sie den VLAN-254-Port mit dem Access Gate Admin-Port (5) und den VLAN-65-Port mit seinem Protection-Port (1).
Der Admin-Port bezieht eine Adresse aus Ihrem Admin-VLAN per DHCP oder verwendet nach etwa einer Minute 10.0.0.1, falls kein DHCP verfügbar ist. Sie können ihn über die Konsole auf eine feste Adresse, z. B. 192.168.254.50, setzen.
2. Route für Twin-Adressen hinzufügen
Access Gate weist jeder Maschine eine Twin-Adresse in 100.64.0.0/16 zu. Fügen Sie unter Security & SD-WAN → Configure → Routing (Static routes) eine statische Route hinzu:
- Subnet:
100.64.0.0/16 - Next hop IP:
100.65.0.6 - Active: Always active
Alles, was an eine Twin-Adresse gesendet wird, geht nun zum Gate, das es an die echte Maschine weiterleitet. Diese Adressen werden noch von nichts genutzt, daher ändert diese Route allein nichts.
3. Mit einer Regel umschalten
Klicken Sie unter Security & SD-WAN → Configure → Addressing & VLANs auf Add source-based route:
- Source: Ihr Maschinensubnetz (
192.168.1.0/24) - Next hop type: LAN
- Next hop IP:
100.65.0.6
Ihre Maschinen behalten ihre Adresse, ihr Gateway und ihre Einstellungen. Rückgängig machen: quellenbasierte Route löschen.
4. Funktionsprüfung
Erreichen Sie von einer Maschine in diesem VLAN (nicht vom Meraki Dashboard, dessen eigene Pings die Regel ignorieren) etwas außerhalb des Standorts, genau wie zuvor:
ping 8.8.8.8
In der Access Gate-Konsole erscheint der Flow nun unter seinem Enclave. Access Gate startet im Trockenlauf-Modus und zeigt daher an, was es blockieren würde, ohne tatsächlich etwas zu blockieren, bis Sie die Regeln genehmigen.
Wenn nichts angezeigt wird, prüfen Sie, ob der MX einen ARP-Eintrag für 100.65.0.6 hat (das Gate antwortet in seinem VLAN), und führen Sie im Dashboard eine Paketaufzeichnung auf dem VLAN des Gates durch.
Weitere Optionen
Datenverkehr zwischen Ihren lokalen VLANs abdecken: Maschinen per Namen erreichen
Die quellenbasierte Route erfasst keinen Datenverkehr zwischen VLANs auf demselben MX. Um diesen Datenverkehr durch das Gate zu leiten, lassen Sie Personen und Systeme die Twin-Adresse oder den Namen der Maschine verwenden, anstatt ihre echte Adresse. Die Route aus Schritt 2 leitet dann jede solche Verbindung zum Gate, unabhängig vom Absender.
Der einfachste Weg sind Namen. Access Gate beantwortet DNS unter 100.65.0.6 und gibt jeder Maschine einen Namen, der auf ihre Twin-Adresse zeigt. Bearbeiten Sie unter Addressing & VLANs die DHCP-Einstellungen des VLANs Ihrer Benutzer und Systeme und setzen Sie Custom nameservers auf 100.65.0.6. Geräte in diesem VLAN lösen dann plc-line-1.secure.acme.corp zu 100.64.1.10 auf.
Um stattdessen Ihren eigenen DNS zu behalten, lesen Sie die nächste Option.
Für eine Regel, die auch den Datenverkehr zwischen lokalen VLANs abdeckt, routen Sie das Maschinensubnetz auf einem vorgelagerten Gerät, das Policy-Routing unterstützt, einem Catalyst-Switch oder einer FortiGate, und wenden Sie die Regel dort an.
Eigenen DNS behalten und eine Subdomain weiterleiten
Der MX leitet keine einzelne DNS-Zone an einen anderen Server weiter. Behalten Sie Ihren vorhandenen DNS und fügen Sie auf Ihrem Standort-DNS-Server (Windows DNS, BIND oder Infoblox) einen Conditional Forwarder für secure.acme.corp → 100.65.0.6 hinzu. Siehe Ihren Maschinen einfache Namen geben.
Nur eine Maschine schützen
Die Route in Schritt 2 deckt bereits alle Twin-Adressen ab. Um stattdessen nur eine einzelne Maschine abzudecken, fügen Sie unter Security & SD-WAN → Configure → Routing eine statische Route nur für ihre Twin-Adresse hinzu:
- Subnet:
100.64.1.10/32 - Next hop IP:
100.65.0.6 - Active: Always active
Personen und Systeme erreichen diese Maschine dann über 100.64.1.10 oder ihren Namen. Wenn Sie die Adressierung einer Maschine ändern können, lesen Sie Eine Maschine schützen, die Sie über ihre Adresse erreichen. Wie dieses Muster generell funktioniert, erläutert Datenverkehr mit dem NAT Ihres Routers umleiten.
Das Gate als Gateway des Maschinensubnetzes einrichten
Die stärkste Option und die invasivste. Entfernen Sie das Maschinen-VLAN aus der MX-Adresstabelle und terminieren Sie dieses Subnetz stattdessen auf dem Access Gate. Das Gate wird zum Gateway für diese Maschinen und betreibt DHCP für sie. Fügen Sie auf dem MX eine statische Route für das Maschinensubnetz hinzu, die auf die Transit-Adresse des Gates zeigt. Wenn Ihr MS-Stack das VLAN-Interface besitzt, entfernen Sie es dort und routen Sie das Subnetz über ein Transit-VLAN zum Gate.
Dies deckt alles ab, was das Subnetz verlässt, einschließlich des Datenverkehrs zu anderen VLANs, ohne Twin-Adressen. Es erfordert ein Wartungsfenster und macht Access Gate zu einer harten Abhängigkeit für dieses Subnetz. Setzen Sie diese Option daher nur für kleine, klar abgegrenzte Maschinengruppen ein.
Welchen Datenverkehr dies abdeckt
Access Gate verarbeitet jedes Paket, das es erreicht, in beide Richtungen. Die Abdeckung hängt allein davon ab, ob der Datenverkehr das Gate erreicht:
- IT zu Maschinen und Maschinen in anderen VLANs: abgedeckt, wenn sie sich per Twin-Adresse oder Namen verbinden.
- Maschinen ins Internet, ins WAN und zu anderen Standorten: abgedeckt durch die quellenbasierte Route in Schritt 3.
- Maschinen zu IT auf demselben MX: abgedeckt, wenn die Maschine den IT-Dienst über seine Twin-Adresse erreicht. Die quellenbasierte Route deckt dies nicht ab.
- Maschinen im selben VLAN ohne zwischengeschalteten Router: Routing sieht diesen Datenverkehr nie. Siehe Datenverkehr auf Ihren Switches umleiten.
Was auf dem MX verbleibt
Der MX hält eine statische Route und eine quellenbasierte Route, einmalig eingerichtet. Wer welche Maschine erreichen darf, Anmeldung, Sitzungsaufzeichnung, Verschlüsselung und Logs liegen alle auf Access Gate. Wenn das Netzwerkteam fragt, was sich am Security Appliance ändert, lautet die Antwort: zwei Routen, einmalig.