Um einen Secure Twin mit Twin IPs bereitzustellen, definieren Sie den Overlay-Bereich im Access Gate, konfigurieren den Secure-Twin-Port und ändern dann ein einziges Feld am Asset: das Ziel, das es anspricht, von der echten Adresse seines Peers auf dessen Overlay-Adresse. Der Verkehr läuft dann über das Access Gate, und das Asset behält IP, Gateway und Routing.
Wenn Sie ändern können, womit ein Asset kommuniziert, ist der direkteste Weg, es unter Access Gate zu bringen, es auf die Secure-Twin-Adresse seines Peers auszurichten. Das Asset sendet seinen Datenverkehr weiterhin genau wie zuvor, doch das Ziel ist nun eine Overlay-IP, die zur Richtliniendurchsetzung über Access Gate geroutet wird, bevor sie das reale Gerät erreicht.
Dies ist die expliziteste der vier Bereitstellungsmethoden: Sie ändern eine einzige Sache am Asset, seine Zieladresse, und alles Weitere ergibt sich aus dem Routing.
Welches Problem löst Twin IPs?
Manche Assets lassen sich umkonfigurieren. Eine HMI, ein SCADA-Client oder ein Historian speichert die Adresse des Servers, mit dem er kommuniziert, oft in einem einfachen Konfigurationsfeld, das Sie bearbeiten dürfen. Wenn das der Fall ist, brauchen Sie keine Layer-2-Tricks und kein DNS: Sie weisen das Asset einfach an, mit der Overlay-Adresse seines Peers statt mit dessen Underlay-Adresse zu kommunizieren, und lassen Access Gate den Datenfluss zurückübersetzen.
Der Effekt ist derselbe wie bei jeder anderen Secure-Twin-Methode, die sensiblen Assets behalten ihre eigene IP, ihr Gateway und ihr Routing, und das Underlay-Netzwerk bleibt unangetastet, doch hier ist die Interception vollständig explizit. Nichts wird vorgetäuscht. Das Asset wird wissentlich auf das Overlay ausgerichtet, und der Betreiber kann genau sehen, wohin sein Datenverkehr geht.
Wie funktioniert Twin IPs?
Drei Bausteine wirken zusammen, keiner davon im Underlay-Netzwerk selbst:
- Der Overlay-Bereich definiert eine 1:1-Zuordnung (ein „binat") zwischen jeder Underlay-Adresse und ihrer Secure-Twin-Overlay-Adresse. In diesem Labor erhält sie das letzte Oktett:
10.0.0.Xim Underlay entspricht100.64.100.Xim Overlay. - Das Ziel des Assets wird von der Underlay-IP des Peers (
10.0.0.3) auf dessen Overlay-IP (100.64.100.3) geändert. Dies ist die einzige Änderung an einem Gerät. - Eine Route führt den Overlay-Bereich zu Access Gate. In einer benachbarten (Lollipop-)Bereitstellung leitet der Router ihn weiter; in einer In-line-Bereitstellung führt das Gate ihn nativ. Access Gate ordnet die Overlay-Adresse dem realen Gerät zu, setzt die Enclave-Richtlinie durch und stellt den Datenfluss zu.
Da sich nur die Zieladresse ändert, bleiben die eigene IP des Assets, sein Gateway und seine Nachbar-Logik alle exakt so, wie sie waren.
Referenzlabor
Das folgende Beispiel verwendet dasselbe flache Gerätesubnetz wie die ARP NAT (L2): ein Host hinter einem Router, mit über das Overlay erreichbarem Access Gate in einer Lollipop-Architektur.
| Element | Adresse | Rolle |
|---|---|---|
| zt-a | 10.0.0.4 | Altgerät A (Quelle), auf das Overlay umkonfiguriert |
| zt-b | 10.0.0.3 | Altgerät B (Ziel) |
| Router | 10.0.0.1 | Edge-Gateway und Route zu Access Gate |
| Access Gate | 100.65.0.4/29, Secure Twin 100.64.100.4/24 | Overlay-Identitäten, Richtliniendurchsetzung |
Die Zuordnung erhält das letzte Oktett: 10.0.0.X im lokalen Subnetz entspricht 100.64.100.X im Overlay, sodass zt-b (10.0.0.3) als 100.64.100.3 erreichbar ist.
Einen Secure Twin mit Twin IPs bereitstellen, Schritt für Schritt
1. Den Overlay-Bereich definieren
Der Overlay-Bereich ist ein Adressbereich, der für durch Access Gate geschützte Assets reserviert ist, wobei jede Overlay-Adresse 1:1 einer Underlay-Adresse zugeordnet ist. Der Standard ist 100.64.0.0/16, Teil des für CGNAT reservierten Bereichs, sodass es zu keinem Konflikt mit bestehenden IPs kommen sollte. Overlay-Bereiche werden in der Benutzeroberfläche von Access Gate definiert:
Damit die Binats funktionieren, müssen die Overlay- und Underlay-Masken in der Größe übereinstimmen und die Bereiche dürfen sich nicht überschneiden. In diesem Labor wird das Overlay 100.64.100.0/24 dem Underlay 10.0.0.0/24 zugeordnet.
2. Den Secure-Twin-Port konfigurieren
Der Secure-Twin-Port ist die Schnittstelle, an der Access Gate Overlay-Verkehr empfängt und ihn an das Underlay zurückgibt. Wählen Sie auf der Einstellungsseite den Porttyp aus:
Geben Sie dann die Schnittstellenwerte für das Segment ein:
Ein ICMP-Ping an die Schnittstelle bestätigt, dass sie aktiv ist, bevor Sie Datenverkehr zu ihr lenken.
3. Das Asset auf seine Secure-Twin-Adresse ausrichten
Dies ist die eine Änderung am Gerät. Wo auch immer zt-a die Adresse seines Peers speichert, in seiner Anwendungskonfiguration, im HMI-Verbindungsziel oder in den Client-Einstellungen, ersetzen Sie die Underlay-IP durch die Overlay-IP:
zt-a's target for zt-b: 10.0.0.3 -> 100.64.100.3
Sie können den neuen Pfad von zt-a aus selbst bestätigen. Datenverkehr an 100.64.100.3 ist nun für das Overlay bestimmt statt für das lokale Subnetz:
ping -c2 100.64.100.3 # jetzt zum Access Gate geroutet
4. Den Overlay-Bereich zu Access Gate routen
Das Asset sendet nun an eine Overlay-Adresse, sodass das Netzwerk diesen Bereich an Access Gate weiterleiten muss. Fügen Sie in einer benachbarten (Lollipop-)Bereitstellung eine Route auf dem Router hinzu; in einer In-line-Bereitstellung führt das Gate den Bereich bereits und dieser Schritt ist nativ.
# Auf dem Router: den Overlay-Bereich an das Access Gate weiterleiten
ip route add 100.64.100.0/24 via <access-gate-ip>
Wenn Sie möchten, dass der Router diese Umleitung statt des Assets vornimmt, siehe IP NAT (L3).
5. Den vollständigen Pfad überprüfen
zt-a erreicht seinen Peer unter der Overlay-Adresse, und der Datenverkehr läuft nun durch Access Gate, statt direkt im Subnetz vermittelt zu werden.
ping -c3 100.64.100.3
Access Gate ordnet 100.64.100.3 wieder dem realen zt-b (10.0.0.3) zu, wendet die Richtlinie an und gibt die Antwort zurück. Ein reduzierter TTL in der Antwort bestätigt, dass der Datenfluss das Gate durchlaufen hat, statt lokal zu bleiben.
Wie der vollständige Pfad aussieht
zt-a (10.0.0.4) [target set to 100.64.100.3]
-> Router (10.0.0.1) [route 100.64.100.0/24 -> Access Gate]
-> Access Gate (Secure Twin 100.64.100.4/24, policy enforcement) [maps 100.64.100.3 -> 10.0.0.3]
-> zt-b (10.0.0.3)
-> and back, un-translated to zt-a
Aus Sicht von zt-a hat es eine Sitzung zu einem einzigen, expliziten Ziel geöffnet. In Wirklichkeit hat jeder Frame Access Gate zur Inspektion und Richtliniendurchsetzung durchlaufen, ohne Änderung an der eigenen Adresse, dem Gateway oder dem Routing von zt-a, und ohne jegliche Änderung an zt-b.
Wann Sie das einsetzen, und wann nicht
Das Asset auf die Overlay-Adresse seines Peers zu zeigen ist der explizitste Weg. Nichts wird vorgetäuscht und nichts verborgen: Dem Asset wird einfach gesagt, wohin es seinen Verkehr schicken soll, und ein Operator sieht im Gerät selbst genau, wohin er geht.
Das passt, wenn Sie die Konfiguration des Assets besitzen, der Peer über eine Adresse und nicht über einen Namen erreicht wird und Sie ein Asset nach dem anderen migrieren.
Nutzen Sie einen anderen Weg, wenn die Assets über Namen erreicht werden. Twin DNS ist die andere Methode pro Asset: Sie setzt an der Antwort an, die der Client bekommt, nicht am Ziel, das er speichert. Um ein ganzes Subnetz in einem Schritt zu verschieben, nutzen Sie Source-Based Routing. Siehe Ihr Secure-Twin-Deployment wählen.