Um einen Secure Twin mit Twin DNS bereitzustellen, geben Sie jedem Asset im Access Gate einen DNS-Namen, setzen das Zonensuffix auf seinem Subnetz und delegieren diese Subdomain dann von Ihrem Unternehmens-DNS an den Access-Gate-Resolver. Clients fragen weiterhin denselben Namen ab; die Antwort zeigt jetzt über das Access Gate, und am Asset ändert sich nichts.
Wenn Assets über ihren Namen statt über eine fest kodierte IP erreicht werden, können Sie sie unter den Secure Twin bringen, ohne ein einziges Gerät anzufassen. Geben Sie jedem Asset einen DNS-Namen, der zu seiner Overlay-Adresse aufgelöst wird, und delegieren Sie diese Zone dann von Ihrem bestehenden DNS. Die Clients fragen weiterhin denselben Namen ab; die Antwort, die sie erhalten, verweist unbemerkt durch das Access Gate.
Dies baut direkt auf Access Gate DNS konfigurieren auf, wo beschrieben wird, wie Sie jedem Asset einen Namen geben. Hier gehen wir den nächsten Schritt: Wir sorgen dafür, dass Ihr Unternehmens-DNS diese Namen an Access Gate übergibt.
Welches Problem löst Twin DNS?
Jedes Asset im Access-Gate-Inventar kann seinen eigenen DNS-Eintrag tragen, und Access Gate übernimmt dessen Auflösung, ohne dass eine zusätzliche Box aufgebaut werden muss. Der Name wird nicht zur realen Adresse des Geräts aufgelöst, sondern zu seiner Overlay-IP, sodass ein Client, der sich per Name verbindet, transparent über das Access Gate zur Richtliniendurchsetzung geleitet wird.
Die einzige verbleibende Frage ist, wie Clients den Access-Gate-Resolver erreichen. Anstatt das DNS jedes Clients auf Access Gate umzustellen, delegieren Sie eine einzelne Subdomain, zum Beispiel secure.acme.corp, an ihn. Ihr bestehendes DNS bleibt für alles andere autoritativ; nur Namen unterhalb dieser Subdomain werden an Access Gate übergeben, das dann übernimmt.
Wie funktioniert Twin DNS?
Zwei Systeme wirken zusammen, und keines davon berührt die Assets:
- Access Gate löst die Asset-Namen auf. Jedes Asset erhält ein Präfix (seinen Namen); jedes Subnetz steuert ein Suffix bei (die Zone). Zusammen bilden sie einen vollqualifizierten Namen, der zur Overlay-Adresse des Assets aufgelöst wird.
- Ihr DNS delegiert die Zone. Sie konfigurieren split DNS so, dass eine Subdomain,
secure.acme.corp, an den Access-Gate-Resolver weitergeleitet wird. Jede Abfrage darunter liefert eine Overlay-Adresse zurück, und der Datenverkehr folgt.
Da sich die Auflösung ändert, behalten die Assets ihre realen IPs, Gateways und ihr Routing. Ein Client erhält einfach eine Overlay-Antwort statt einer Underlay-Antwort.
Referenzlabor
Eine einzige Unternehmenszone wird durch jeden Schritt hindurch beibehalten, damit die Namen zusammenpassen:
| Element | Wert | Rolle |
|---|---|---|
| Unternehmenszone | acme.corp | Ihr bestehendes internes DNS |
| Delegierte Subdomain | secure.acme.corp | An Access Gate weitergeleitet |
| Access-Gate-Resolver | 100.65.0.6 | Hostet Namen für geschützte Assets |
| Beispiel-Asset | plc-line-1, Underlay 10.0.0.3 | Wird zu Overlay 100.64.100.3 aufgelöst |
So wird plc-line-1.secure.acme.corp zu 100.64.100.3 aufgelöst, und der Datenverkehr an diesen Namen durchläuft das Access Gate auf seinem Weg zur realen 10.0.0.3.
Einen Secure Twin mit Twin DNS bereitstellen, Schritt für Schritt
1. Geben Sie jedem Asset einen DNS-Namen
Öffnen Sie in Access Gate Asset → [Asset], wählen Sie das Stiftsymbol und geben Sie das Präfix des Assets (seinen Namen) ein.
Der Name wird nun zur Overlay-IP des Assets aufgelöst, sodass der an ihn gesendete Datenverkehr über den Access-Gate-Proxy geleitet wird und nicht direkt zum Gerät.
2. Legen Sie das Zonen-Suffix am Subnetz fest
Das Suffix stammt aus Ihrer vnet-Konfiguration, unter Settings → Subnets → Overlay DNS Name. Setzen Sie es auf die Subdomain, die Sie delegieren werden, secure.acme.corp, und jeder Asset-Eintrag in diesem Subnetz erbt es.
3. Bestätigen Sie die Auflösung auf Access Gate
Bestätigen Sie vor dem Delegieren, dass Access Gate den Namen zu einer Overlay-Adresse auflöst.
dig @100.65.0.6 plc-line-1.secure.acme.corp +short
# 100.64.100.3 -> eine Overlay-Adresse bestätigt, dass Access Gate korrekt auflöst
4. Delegieren Sie die Subdomain von Ihrem DNS (split DNS)
Leiten Sie in Ihrem bestehenden DNS die Zone secure.acme.corp an den Access-Gate-Resolver weiter. Alles außerhalb dieser Subdomain bleibt genau so, wie es ist.
# BIND: forward only the delegated zone to Access Gate
zone "secure.acme.corp" {
type forward;
forward only;
forwarders { 100.65.0.6; }; # Access Gate resolver
};
Bei Windows DNS ist dies ein Conditional Forwarder für secure.acme.corp, der auf 100.65.0.6 verweist; die meisten anderen Resolver bieten dasselbe Konzept „diese Zone weiterleiten".
5. Verifizieren Sie von einem Client aus
Lösen Sie von einem normalen Client, der Ihr Unternehmens-DNS verwendet, das Asset per Name auf. Die Antwort sollte eine Overlay-Adresse sein, und die Sitzung sollte das Access Gate durchlaufen.
nslookup plc-line-1.secure.acme.corp
# Address: 100.64.100.3 -> über die delegierte Zone aufgelöst, durch Access Gate
Wie der vollständige Pfad aussieht
client [asks corporate DNS for plc-line-1.secure.acme.corp]
-> Corporate DNS (acme.corp) [forwards secure.acme.corp -> Access Gate resolver]
-> Access Gate resolver (100.65.0.6) [answers 100.64.100.3, the overlay address]
-> client connects to 100.64.100.3
-> Access Gate (policy enforcement) [maps 100.64.100.3 -> 10.0.0.3]
-> plc-line-1 (10.0.0.3)
Aus Sicht des Clients hat er einen Namen abgefragt und sich wie gewohnt damit verbunden. In Wirklichkeit wurde der Name zu einer Overlay-Adresse aufgelöst, und die Sitzung lief durch das Access Gate, ohne Änderung an der realen IP, dem Gateway oder dem Routing des Assets.
Wann Sie das einsetzen, und wann nicht
Das Delegieren einer Subdomain bringt benannte Assets unter den Secure Twin, ohne sie anzufassen. Sie ändern einen einzigen Forwarder in Ihrem DNS, und jeder Name darunter wird durch das Access Gate gezogen. Das passt gut zu SSL/TLS-Zertifikaten, die gegen einen Namen und nicht gegen eine Adresse ausgestellt werden.
Das passt, wenn Assets über Namen erreicht werden, Sie eine delegierbare Zone kontrollieren und Sie ein Asset nach dem anderen migrieren.
Nutzen Sie einen anderen Weg, wenn die Assets über eine rohe IP erreicht werden. Twin IPs ist die andere Methode pro Asset: Sie ändert das Ziel, das das Asset anspricht, statt der Antwort, die es erhält. Um ein ganzes Subnetz in einem Schritt zu verschieben, nutzen Sie Source-Based Routing. Siehe Ihr Secure-Twin-Deployment wählen.