Access Gate mit MikroTik bereitstellen

Diese Anleitung führt einen MikroTik RouterOS-Router von „Access Gate im Rack" bis „OT-Datenverkehr fließt durch das Gate" – von Anfang bis Ende. Sie verbinden zwei Ports, geben dem Gate einen Platz im Netzwerk und legen fest, wie der Datenverkehr dorthin gelangt. An den OT-Geräten ändert sich nichts. Die Befehle gelten für RouterOS 7.

Was Sie aufbauen werden

Das Access Gate ist ein physisches Gerät, das Sie mit zwei Ports auf zwei verschiedenen Subnetzen verbinden: einem Admin-Port in Ihrem Admin-VLAN und einem Protection-Port in einem kleinen dedizierten Subnetz, das den Datenverkehr trägt, den Sie durch das Gate leiten.

Referenz-Lab

1. Physische Konnektivität: zwei Ports, zwei Subnetze

Platzieren Sie den Admin-Port und den Protection-Port in verschiedenen Subnetzen, damit Management-Datenverkehr und gesteuerter Datenverkehr niemals eine Broadcast-Domain teilen. Konfigurieren Sie ein Interface für Admin, eines für Protection.

# ether5 -> Access Gate admin port (5)   |  ether2 -> Access Gate protection port (1)
/ip address add address=192.168.254.1/24 interface=ether5 comment="AG admin"
/ip address add address=100.65.0.1/29    interface=ether2 comment="AG protection"

Verbinden Sie ether5 mit dem Access Gate Admin-Port (5) und ether2 mit dem Protection-Port (1). Das Admin-Interface bezieht eine DHCP-Lease vom Admin-VLAN oder fällt nach etwa einer Minute auf 10.0.0.1 zurück, falls keine vorhanden ist; setzen Sie es über die Konsole statisch auf 192.168.254.50, wenn Sie eine feste Adresse bevorzugen.

2. Route für das Overlay einrichten

Der Secure Twin befindet sich im Overlay 100.64.0.0/16, dem parallelen Adressraum, in dem jedes Asset einen Twin erhält. Fügen Sie eine Route hinzu, damit jeder Datenverkehr für diesen Bereich über 100.65.0.6, den Protection-Port des Access Gate, weitergeleitet wird:

/ip route add dst-address=100.64.0.0/16 gateway=100.65.0.6 comment="Secure Twin overlay"

Zu lesen als: Für das Zielnetzwerk 100.64.0.0/16 ist das Gateway (Next Hop) 100.65.0.6. Ab diesem Punkt verlässt jeder Datenverkehr, der an eine Twin-(Overlay-)Adresse gerichtet ist, den Router, trifft am Access Gate auf dessen Protection-Port ein, und das Gate leitet ihn per Proxy an das echte Gerät weiter – das Ansprechen einer Twin-Adresse ist also das, was den Fluss durch das Gate zieht.

3. DNS auf das Access Gate zeigen lassen

Das Gate betreibt einen Resolver unter 100.65.0.6, der Asset-Namen in Overlay-Adressen auflöst. Sie können ihn für alles oder nur für eine Subdomain verwenden.

• Alles: Den Resolver per DHCP an Clients übergeben:

  /ip dhcp-server network set [find where address=192.168.1.0/24] dns-server=100.65.0.6
  

• Nur Subdomain: RouterOS leitet eine einzelne Zone mit einem statischen FWD-Eintrag weiter, sodass nur secure.acme.corp an das Gate geht und alles andere Ihren bestehenden Resolver verwendet:

  /ip dns static add type=FWD name=secure.acme.corp match-subdomain=yes forward-to=100.65.0.6
  

  Siehe Configuring Access Gate DNS für das Split-DNS-Muster.

4. Datenverkehr durch das Gate steuern

Wählen Sie je nachdem, ob Sie ein ganzes Subnetz erfassen oder bestimmte Assets erreichen möchten.

• Quellenbasiert (gesamtes OT-Subnetz): Markieren Sie alles, was aus dem OT-Subnetz stammt, und leiten Sie den markierten Datenverkehr zum Gate. Eine Regel bringt das Subnetz unter den Secure Twin, ohne ein Gerät zu berühren:

  /ip firewall mangle add chain=prerouting src-address=192.168.1.0/24 \
      action=mark-routing new-routing-mark=via-ag passthrough=yes comment="steer OT to AG"
  /ip route add dst-address=0.0.0.0/0 gateway=100.65.0.6 routing-table=via-ag
  

  Funktionsweise: Die Mangle-Regel versieht jedes Paket aus dem OT-Subnetz mit dem Routing-Mark via-ag, und die Route in dieser Routing-Tabelle sendet den gesamten markierten Datenverkehr an 100.65.0.6 – eine Regel zieht also das gesamte Subnetz durch das Gate. Dies ist die RouterOS-Form des quellenbasierten Routings.

• Zielbasiert (bestimmte Assets): Assets über ihre Twin-Adressen durch die Overlay-Route aus Schritt 2 erreichen oder eine Route für ein bestimmtes Ziel über 100.65.0.6 hinzufügen. Verwenden Sie dies für die Steuerung einzelner Flows; siehe Gateway-NAT (L3).

5. Den vollständigen Pfad überprüfen

Erreichen Sie von einem OT-Gerät aus ein Ziel genau wie bisher. Der Router leitet den Fluss nun beim Ausgang durch das Gate.

# from the OT device (192.168.1.10)
ping 192.168.2.20

Auf dem Access Gate erscheint der Fluss unter seinem Enclave mit der Overlay-Identität des Geräts (100.64.1.10); Identität, Richtlinie und Verschlüsselung werden angewendet, bevor das Paket weitergeleitet wird, und die Antwort wird per NAT an das echte Gerät zurückgeleitet.

Sie können auch die Richtung IT zu OT testen: Erreichen Sie von einem IT-Client aus ein OT-Asset über seine Twin-Adresse oder seinen DNS-Namen (ping 100.64.1.10). Die Overlay-Route trägt das Paket zum Gate, das es per Proxy an das echte Gerät weiterleitet.

Zusammenfassung

Sie haben zwei RouterOS-Interfaces auf zwei Subnetzen konfiguriert (Admin-VLAN + Protection /29), das Gate unter 100.65.0.6 platziert, das Overlay dorthin geroutet, DNS auf seinen Resolver gezeigt und den Datenverkehr mit einer mangle-markierten Routing-Tabelle oder einer Zielroute gesteuert. OT-Datenverkehr fließt nun durch das Access Gate, ohne dass sich an einem Asset etwas ändert.

Verwandte Themen

• Deploy Secure Twin with Source-Based Routing
• Configuring Access Gate DNS
• Deploy Secure Twin via Gateway NAT (L3)
• Choosing a Secure Twin deployment