Wenn Sie ändern können, womit ein Asset kommuniziert, ist der direkteste Weg, es unter Access Gate zu bringen, es auf die Secure-Twin-Adresse seines Peers auszurichten. Das Asset sendet seinen Datenverkehr weiterhin genau wie zuvor, doch das Ziel ist nun eine Overlay-IP, die zur Richtliniendurchsetzung über Access Gate geroutet wird, bevor sie das reale Gerät erreicht.
Dies ist die expliziteste der vier Bereitstellungsmethoden: Sie ändern eine einzige Sache am Asset, seine Zieladresse, und alles Weitere ergibt sich aus dem Routing.
Das Ziel
Manche Assets lassen sich umkonfigurieren. Eine HMI, ein SCADA-Client oder ein Historian speichert die Adresse des Servers, mit dem er kommuniziert, oft in einem einfachen Konfigurationsfeld, das Sie bearbeiten dürfen. Wenn das der Fall ist, brauchen Sie keine Layer-2-Tricks und kein DNS: Sie weisen das Asset einfach an, mit der Overlay-Adresse seines Peers statt mit dessen Underlay-Adresse zu kommunizieren, und lassen Access Gate den Datenfluss zurückübersetzen.
Der Effekt ist derselbe wie bei jeder anderen Secure-Twin-Methode, die sensiblen Assets behalten ihre eigene IP, ihr Gateway und ihr Routing, und das Underlay-Netzwerk bleibt unangetastet, doch hier ist die Interception vollständig explizit. Nichts wird vorgetäuscht. Das Asset wird wissentlich auf das Overlay ausgerichtet, und der Betreiber kann genau sehen, wohin sein Datenverkehr geht.
So funktioniert es
Drei Bausteine wirken zusammen, keiner davon im Underlay-Netzwerk selbst:
- Der Overlay-Bereich definiert eine 1:1-Zuordnung (ein „binat") zwischen jeder Underlay-Adresse und ihrer Secure-Twin-Overlay-Adresse. In diesem Labor erhält sie das letzte Oktett:
10.0.0.Xim Underlay entspricht100.64.100.Xim Overlay. - Das Ziel des Assets wird von der Underlay-IP des Peers (
10.0.0.3) auf dessen Overlay-IP (100.64.100.3) geändert. Dies ist die einzige Änderung an einem Gerät. - Eine Route führt den Overlay-Bereich zu Access Gate. In einer benachbarten (Lollipop-)Bereitstellung leitet der Router ihn weiter; in einer In-line-Bereitstellung führt das Gate ihn nativ. Access Gate ordnet die Overlay-Adresse dem realen Gerät zu, setzt die Enclave-Richtlinie durch und stellt den Datenfluss zu.
Da sich nur die Zieladresse ändert, bleiben die eigene IP des Assets, sein Gateway und seine Nachbar-Logik alle exakt so, wie sie waren.
Referenzlabor
Das folgende Beispiel verwendet dasselbe flache Gerätesubnetz wie die Anleitung zum ARP-Proxying: ein Host hinter einem Router, mit über das Overlay erreichbarem Access Gate in einer Lollipop-Architektur.
| Element | Adresse | Rolle |
|---|---|---|
| zt-a | 10.0.0.4 | Altgerät A (Quelle), auf das Overlay umkonfiguriert |
| zt-b | 10.0.0.3 | Altgerät B (Ziel) |
| Router | 10.0.0.1 | Edge-Gateway und Route zu Access Gate |
| Access Gate | 100.65.0.4/29, Secure Twin 100.64.100.4/24 | Overlay-Identitäten, Richtliniendurchsetzung |
Die Zuordnung erhält das letzte Oktett: 10.0.0.X im lokalen Subnetz entspricht 100.64.100.X im Overlay, sodass zt-b (10.0.0.3) als 100.64.100.3 erreichbar ist.
Schritt für Schritt
1. Den Overlay-Bereich definieren
Der Overlay-Bereich ist ein Adressbereich, der für durch Access Gate geschützte Assets reserviert ist, wobei jede Overlay-Adresse 1:1 einer Underlay-Adresse zugeordnet ist. Der Standard ist 100.64.0.0/16, Teil des für CGNAT reservierten Bereichs, sodass es zu keinem Konflikt mit bestehenden IPs kommen sollte. Overlay-Bereiche werden in der Benutzeroberfläche von Access Gate definiert:
Damit die Binats funktionieren, müssen die Overlay- und Underlay-Masken in der Größe übereinstimmen und die Bereiche dürfen sich nicht überschneiden. In diesem Labor wird das Overlay 100.64.100.0/24 dem Underlay 10.0.0.0/24 zugeordnet.
2. Den Secure-Twin-Port konfigurieren
Der Secure-Twin-Port ist die Schnittstelle, an der Access Gate Overlay-Verkehr empfängt und ihn an das Underlay zurückgibt. Wählen Sie auf der Einstellungsseite den Porttyp aus:
Geben Sie dann die Schnittstellenwerte für das Segment ein:
Ein ICMP-Ping an die Schnittstelle bestätigt, dass sie aktiv ist, bevor Sie Datenverkehr zu ihr lenken.
3. Das Asset auf seine Secure-Twin-Adresse ausrichten
Dies ist die eine Änderung am Gerät. Wo auch immer zt-a die Adresse seines Peers speichert, in seiner Anwendungskonfiguration, im HMI-Verbindungsziel oder in den Client-Einstellungen, ersetzen Sie die Underlay-IP durch die Overlay-IP:
zt-a's target for zt-b: 10.0.0.3 -> 100.64.100.3
Sie können den neuen Pfad von zt-a aus selbst bestätigen. Datenverkehr an 100.64.100.3 ist nun für das Overlay bestimmt statt für das lokale Subnetz:
ping -c2 100.64.100.3 # jetzt zum Access Gate geroutet
4. Den Overlay-Bereich zu Access Gate routen
Das Asset sendet nun an eine Overlay-Adresse, sodass das Netzwerk diesen Bereich an Access Gate weiterleiten muss. Fügen Sie in einer benachbarten (Lollipop-)Bereitstellung eine Route auf dem Router hinzu; in einer In-line-Bereitstellung führt das Gate den Bereich bereits und dieser Schritt ist nativ.
# Auf dem Router: den Overlay-Bereich an das Access Gate weiterleiten
ip route add 100.64.100.0/24 via <access-gate-ip>
Wenn Sie möchten, dass der Router diese Umleitung statt des Assets vornimmt, siehe Secure Twin per Gateway-NAT (L3) bereitstellen.
5. Den vollständigen Pfad überprüfen
zt-a erreicht seinen Peer unter der Overlay-Adresse, und der Datenverkehr läuft nun durch Access Gate, statt direkt im Subnetz vermittelt zu werden.
ping -c3 100.64.100.3
Access Gate ordnet 100.64.100.3 wieder dem realen zt-b (10.0.0.3) zu, wendet die Richtlinie an und gibt die Antwort zurück. Ein reduzierter TTL in der Antwort bestätigt, dass der Datenfluss das Gate durchlaufen hat, statt lokal zu bleiben.
Der vollständige Pfad
zt-a (10.0.0.4) [target set to 100.64.100.3]
-> Router (10.0.0.1) [route 100.64.100.0/24 -> Access Gate]
-> Access Gate (Secure Twin 100.64.100.4/24, policy enforcement) [maps 100.64.100.3 -> 10.0.0.3]
-> zt-b (10.0.0.3)
-> and back, un-translated to zt-a
Aus Sicht von zt-a hat es eine Sitzung zu einem einzigen, expliziten Ziel geöffnet. In Wirklichkeit hat jeder Frame Access Gate zur Inspektion und Richtliniendurchsetzung durchlaufen, ohne Änderung an der eigenen Adresse, dem Gateway oder dem Routing von zt-a, und ohne jegliche Änderung an zt-b.
Der expliziteste Weg zu Zero Trust
Die Änderung der Ziel-IP ist der transparenteste Weg, ein Asset unter den Secure Twin zu bringen: Es gibt nichts vorzutäuschen und nichts zu verbergen, dem Asset wird schlicht mitgeteilt, wohin es seinen Datenverkehr senden soll. Es ist die richtige Wahl, wenn Sie die Konfiguration des Assets besitzen und möchten, dass die Interception im Gerät selbst sichtbar ist.
Wenn Sie das Asset überhaupt nicht anfassen können, greifen Sie zu ARP-Proxying (L2), um dasselbe Ergebnis auf Layer 2 zu erzielen, oder zu DNS, um per Name statt per Adresse zu lenken. Alle vier Methoden bringen Altgeräte unter Zero-Trust-Durchsetzung, während der Betrieb online bleibt und das Underlay-Netzwerk unangetastet bleibt.