Diese Anleitung führt ein Ubiquiti UniFi-Gateway (UDM / UXG mit einem UniFi-Switch) von „Access Gate im Rack" bis „OT-Datenverkehr fließt durch das Gate" – vollständig, von der UniFi Network-Anwendung aus. Sie verbinden zwei Ports, geben dem Gate einen Platz im Netzwerk und legen fest, wie der Datenverkehr dorthin gelangt. An den OT-Geräten ändert sich nichts.
Was Sie aufbauen werden
Das Access Gate ist ein physisches Gerät, das Sie mit zwei Ports an zwei verschiedenen Subnetzen verbinden: einem Admin-Port im Admin-Netzwerk und einem Protection-Port in einem kleinen dedizierten Netzwerk, das den Datenverkehr trägt, den Sie durch das Gate leiten.
Referenz-Lab
| Element | Adresse | Rolle |
|---|---|---|
| Admin-Netzwerk | 192.168.254.0/24 (VLAN 254) | Zugang zur Access Gate-Webkonsole |
| Access Gate Admin-Port (5) | DHCP oder 192.168.254.50 | Management-Interface |
| Protection-Netzwerk | 100.65.0.0/29 (VLAN 65), Gateway 100.65.0.1 | Point-to-Point-Verbindung zum Gate |
| Access Gate Protection-Port (1) | 100.65.0.6 | Datenverkehr ein/aus, Overlay und DNS-Resolver |
| Secure Twin Overlay | 100.64.0.0/16 | Paralleler Adressraum; jedes Asset erhält einen 1:1-Twin |
| OT-Subnetz | 192.168.1.0/24, PLC 192.168.1.10 (Twin 100.64.1.10) | Assets, unverändert |
| DNS-Zone | secure.acme.corp, Resolver 100.65.0.6 | Namen für Assets |
1. Physische Konnektivität: zwei Ports, zwei Netzwerke
Legen Sie den Admin-Port und den Protection-Port auf verschiedene Netzwerke, damit Management-Datenverkehr und gesteuerter Datenverkehr niemals eine Broadcast-Domain teilen.
- Erstellen Sie die Netzwerke unter Settings → Networks:
Admin: VLAN 254,192.168.254.0/24, Gateway192.168.254.1.AG-Protect: VLAN 65,100.65.0.0/29, Gateway100.65.0.1.
- Weisen Sie die Switch-Ports zu unter Ports → [port] → Port Manager:
- Ein Port mit Native VLAN = Admin → Kabel zum Access Gate Admin-Port (5).
- Ein Port mit Native VLAN = AG-Protect → Kabel zum Access Gate Protection-Port (1).
Das Admin-Interface bezieht eine DHCP-Adresse aus dem Admin-Netzwerk oder fällt nach etwa einer Minute auf 10.0.0.1 zurück, falls keine vorhanden ist. Setzen Sie die Adresse über die Konsole statisch auf 192.168.254.50, wenn Sie eine feste Adresse bevorzugen.
2. Route für das Overlay einrichten
Der Secure Twin befindet sich im Overlay 100.64.0.0/16, dem parallelen Adressraum, in dem jedes Asset einen Twin erhält. Fügen Sie unter Settings → Routing → Static Routes eine statische Route hinzu, damit Datenverkehr für diesen Bereich an 100.65.0.6, den Protection-Port des Access Gate, weitergeleitet wird:
- Destination:
100.64.0.0/16 - Next hop:
100.65.0.6
Ab diesem Punkt wird jeder Datenverkehr, der an eine Twin-Adresse (Overlay) gerichtet ist, über den Protection-Port an das Access Gate gesendet. Das Gate leitet ihn an das echte Gerät weiter. Der Zugriff über eine Twin-Adresse ist also das, was den Datenfluss durch das Gate zieht.
3. DNS auf das Access Gate zeigen lassen
Das Gate betreibt einen Resolver unter 100.65.0.6, der Asset-Namen in Overlay-Adressen auflöst. Sie können ihn für alles oder nur für eine Subdomain verwenden.
- Alles: Bearbeiten Sie das OT-Netzwerk unter Settings → Networks und setzen Sie unter DHCP → DNS Server manuell den Wert
100.65.0.6. Jedes Gerät in diesem Netzwerk löst dann über das Gate auf. - Nur Subdomain: Das UniFi-Gateway unterstützt kein zuverlässiges zonenbasiertes Conditional Forwarding. Behalten Sie daher Ihren vorhandenen DNS-Server und fügen Sie dort einen Conditional Forwarder für
secure.acme.corp → 100.65.0.6hinzu (Windows DNS, BIND oder Infoblox). Siehe Configuring Access Gate DNS.
4. Datenverkehr durch das Gate steuern
Wählen Sie je nachdem, ob Sie ein ganzes Subnetz erfassen oder bestimmte Assets erreichen möchten.
- Quellenbasiert (gesamtes OT-Subnetz): Fügen Sie unter aktuellem UniFi OS eine Policy-Based Route unter Settings → Routing → Policy-Based Routes hinzu: Bedingung Source = OT-Netzwerk (
192.168.1.0/24), Next Hop / Interface aufAG-Protect(100.65.0.6). Damit wird jedes Paket, dessen Quelle das OT-Netzwerk ist, unabhängig vom Ziel an den Protection-Port des Gates geleitet – eine einzige Regel bringt das gesamte Subnetz unter den Secure Twin, ohne ein Gerät anzufassen. Dies ist die UniFi-Umsetzung von quellenbasiertem Routing. - Zielbasiert (bestimmte Assets): Erreichen Sie Assets über ihre Twin-Adressen durch die Overlay-Route aus Schritt 2. Verwenden Sie dies für flussbasierte Kontrolle oder wenn Ihr Controller kein Policy-Based Routing unterstützt; siehe Gateway-NAT (L3).
5. Den vollständigen Pfad überprüfen
Greifen Sie von einem OT-Gerät aus genau wie bisher auf ein Ziel zu. Das Gateway leitet den Datenfluss nun über das Access Gate weiter.
ping 192.168.2.20 # from the OT device (192.168.1.10)
Auf dem Access Gate erscheint der Datenfluss unter seinem Enclave mit der Overlay-Identität des Geräts (100.64.1.10); Identität, Richtlinie und Verschlüsselung werden angewendet, bevor das Paket weitergeleitet wird, und die Antwort wird per NAT an das echte Gerät zurückgeleitet.
Sie können auch die Richtung IT zu OT testen: Erreichen Sie von einem IT-Client aus ein OT-Asset über seine Twin-Adresse oder seinen DNS-Namen (ping 100.64.1.10). Die Overlay-Route leitet das Paket zum Gate, das es an das echte Gerät weiterleitet.
Zusammenfassung
Sie haben zwei Netzwerke in UniFi erstellt, das Gate mit zwei Switch-Ports in zwei Subnetzen verbunden (Admin-Netzwerk + Protection /29), das Gate unter 100.65.0.6 adressiert, das Overlay dorthin geroutet, DNS auf seinen Resolver gezeigt und den Datenverkehr mit einer Policy-Based Route oder einer Zielroute gesteuert. OT-Datenverkehr fließt nun durch das Access Gate, ohne dass ein Asset geändert wurde.