Wenn Sie das Asset nicht ändern können und es per IP statt per Name erreicht wird, kann die Umleitung vollständig im Netzwerk stattfinden. Der Router oder das L3-Gateway, das der Datenverkehr ohnehin durchläuft, schreibt das Ziel der von Ihnen gewählten Datenflüsse auf das Secure-Twin-Overlay um und schiebt sie durch Access Gate. Das Asset kommuniziert weiterhin mit der realen Adresse seines Peers; das Gateway erledigt den Rest.
Das Ziel
Das Asset (zt-a) spricht die reale Adresse seines Peers (10.0.0.3) an, genau wie schon immer. Sie können oder wollen es nicht umkonfigurieren, und es wird per IP erreicht, nicht per Name. Der eine Punkt, den Sie kontrollieren, ist das L3-Gateway, das sein Datenverkehr ohnehin durchquert.
Also lassen Sie das Gateway die Arbeit erledigen: Es leitet die von Ihnen gewählten Datenflüsse per Destination-NAT um, schreibt 10.0.0.3 auf dessen Overlay-Twin 100.64.100.3 um und leitet sie an Access Gate weiter. Am Asset ändert sich nichts, die Umleitung ist eine einzige Regel auf dem Router.
So funktioniert es
Drei Bausteine wirken zusammen, alle auf dem Gateway und Access Gate, keiner auf dem Asset:
- Der Overlay-Bereich definiert eine 1:1-Zuordnung (ein „binat") zwischen jeder Underlay-Adresse und ihrer Secure-Twin-Overlay-Adresse. In diesem Labor erhält sie das letzte Oktett:
10.0.0.Xim Underlay entspricht100.64.100.Xim Overlay. - Eine Destination-NAT-Regel auf dem L3-Gateway schreibt das Ziel der ausgewählten Datenflüsse von der Underlay-Adresse auf ihren Overlay-Twin um, sodass das Paket nun an das Overlay adressiert ist.
- Eine Route zu Access Gate führt den Overlay-Bereich zum Gate, das die Overlay-Adresse per binat wieder dem realen Gerät zuordnet, die Enclave-Richtlinie durchsetzt und die Antwort über das Gateway zurückgibt.
Da die Umschreibung auf dem Gateway erfolgt, bleiben die eigene Adresse des Assets, sein Gateway und sein Routing exakt so, wie sie waren, es erfährt nie, dass sein Datenverkehr umgeleitet wurde.
Referenzlabor
Das Beispiel verwendet dasselbe flache Gerätesubnetz wie die Anleitungen zur IP-Änderung und zum ARP-Proxying (L2): ein Host hinter einem Router, mit über das Overlay erreichbarem Access Gate in einer Lollipop-Architektur.
| Element | Adresse | Rolle |
|---|---|---|
| zt-a | 10.0.0.4 | Altgerät A (Quelle), unverändert |
| zt-b | 10.0.0.3 | Altgerät B (Ziel) |
| Router / L3-Gateway | 10.0.0.1 | Leitet ausgewählte Datenflüsse per Destination-NAT auf das Overlay um |
| Access Gate | 100.65.0.4/29, Secure Twin 100.64.100.4/24 | Overlay-Identitäten, Richtliniendurchsetzung |
Die Zuordnung erhält das letzte Oktett: 10.0.0.X im lokalen Subnetz entspricht 100.64.100.X im Overlay, sodass zt-b (10.0.0.3) den Overlay-Twin 100.64.100.3 hat.
Schritt für Schritt
1. Den Overlay-Bereich definieren
Der Overlay-Bereich ist ein Adressbereich, der für durch Access Gate geschützte Assets reserviert ist, wobei jede Overlay-Adresse 1:1 einer Underlay-Adresse zugeordnet ist. Der Standard ist 100.64.0.0/16, Teil des für CGNAT reservierten Bereichs. In diesem Labor wird das Overlay 100.64.100.0/24 dem Underlay 10.0.0.0/24 zugeordnet. Siehe Secure Twin mit Twin IPs bereitstellen für das Definieren von Bereichen und des Secure-Twin-Ports in der Benutzeroberfläche.
2. Den Datenfluss auf dem L3-Gateway per Destination-NAT umleiten
Fügen Sie auf dem Router eine DNAT-Regel hinzu, die das Ziel der Datenflüsse, die Sie über das Gate leiten möchten, von der Underlay-Adresse auf ihren Overlay-Twin umschreibt. Begrenzen Sie sie auf den konkreten Datenfluss, sodass nicht zugehöriger Datenverkehr unangetastet bleibt.
# Auf dem L3-Gateway: Datenverkehr von zt-a Richtung zt-b per DNAT auf dessen Overlay-Twin umleiten
iptables -t nat -A PREROUTING -s 10.0.0.4 -d 10.0.0.3 -j DNAT --to-destination 100.64.100.3
Der DNAT erfolgt vor der Routing-Entscheidung, sodass das Paket nun an 100.64.100.3 adressiert ist, wenn das Gateway seinen nächsten Hop wählt.
3. Den Overlay-Bereich zu Access Gate routen
Senden Sie den Overlay-Bereich an Access Gate, sodass das frisch geNATete Paket an das Gate weitergeleitet wird statt zurück ins lokale Subnetz.
ip route add 100.64.100.0/24 via <access-gate-ip>
4. Den vollständigen Pfad überprüfen
zt-a pingt seinen Peer unter dessen realer Adresse, unverändert, und das Gateway leitet den Datenfluss unbemerkt durch Access Gate um.
ping -c3 10.0.0.3
Access Gate ordnet 100.64.100.3 per binat wieder dem realen zt-b (10.0.0.3) zu, wendet die Richtlinie an und gibt die Antwort über das Gateway zurück. Ein reduzierter TTL in der Antwort bestätigt, dass der Datenfluss das Gate durchlaufen hat, statt lokal zu bleiben.
Der vollständige Pfad
zt-a (10.0.0.4) [targets the REAL peer 10.0.0.3, unchanged]
-> Router / L3 gateway (10.0.0.1) [DNAT 10.0.0.3 -> 100.64.100.3, route to Access Gate]
-> Access Gate (Secure Twin 100.64.100.4/24, policy enforcement) [binat 100.64.100.3 -> 10.0.0.3]
-> zt-b (10.0.0.3)
-> and back, un-NATed to zt-a
Aus Sicht von zt-a hat es seinen Nachbarn unter der üblichen Adresse erreicht. In Wirklichkeit hat das L3-Gateway das Ziel auf das Overlay umgeschrieben und die Sitzung lief durch Access Gate, ohne Änderung an Adresse, Gateway oder Routing eines der beiden Geräte.
Eine Umleitung, die im Gateway sitzt
Gateway-NAT hält die Umleitung vollständig von den Endpunkten fern: Das Asset wird nie umkonfiguriert und kein DNS ist beteiligt, der Router schreibt schlicht das Ziel der von Ihnen gewählten Datenflüsse um. Greifen Sie dazu, wenn Ihnen das L3-Gateway gehört, nicht aber die Assets, und der Datenverkehr per IP erreicht wird.
Wenn Sie das Asset ändern können, ist IP-Änderung einfacher; wenn das Asset per Name erreicht wird, verwenden Sie DNS; wenn es überhaupt keinen L3-Hop zwischen den beiden Geräten gibt, erledigt es ARP-Proxying (L2) auf dem Switch.