Um einen Secure Twin über ein ganzes Subnetz bereitzustellen, geben Sie dem Ursprungssubnetz im Access Gate ein Overlay und fügen eine einzige quellbasierte Policy-Route hinzu, die alles von dort an das Access Gate schickt. Eine Regel bringt das gesamte VLAN unter Kontrolle, ohne ein Endgerät umzukonfigurieren.
Wenn Sie ein ganzes Netzwerk unter den Secure Twin bringen möchten, statt einen einzelnen Datenfluss oder ein einzelnes Gerät, ist quellenbasiertes Routing der Weg mit dem geringsten Aufwand. Anstatt einzelne Ziele abzugleichen, wird dem Router mitgeteilt, dass alles, was aus einem Ursprungssubnetz stammt, zum Beispiel einem OT-VLAN, über das Access Gate geroutet wird. Eine einzige Richtlinie auf dem Router zieht das gesamte Netzwerk durch das Gate; nicht ein einziges Gerät wird umkonfiguriert.
Welches Problem löst Source-Based Routing?
Der häufigste Auslöser ist eine Migration. Ein Netzwerk, typischerweise OT, muss unter Zero-Trust-Durchsetzung gestellt werden, doch die Geräte darin lassen sich nicht umkonfigurieren: keine neue IP, kein neues Gateway, kein Agent. Oft möchten Sie den Schutz zudem in der Granularität eines ganzen VLANs oder Subnetzes auf einmal verlagern, nicht Gerät für Gerät.
Quellenbasiertes Routing löst dies auf dem Router. Sie belassen jedes OT-Gerät exakt so, wie es ist, und ändern eine einzige Sache im Netzwerk: die Richtlinie des Routers für Datenverkehr, der dieses Subnetz verlässt. Von da an sieht das Access Gate die East-West- und North-South-Datenflüsse des Netzwerks, wendet Enclave-Richtlinie, Identität und Verschlüsselung an und repräsentiert jedes Gerät gegenüber dem restlichen Netzwerk durch seine Overlay-Identität. Die Migration eines VLANs unter den Secure Twin wird zu einer einzigen Routing-Änderung, die Sie stufenweise einführen und zurückrollen können.
Wie funktioniert Source-Based Routing?
Zwei Bausteine wirken zusammen, und keiner davon befindet sich auf den Geräten:
- Der Overlay-Bereich gibt dem Ursprungssubnetz einen Secure Twin: eine 1:1-Zuordnung (ein „binat") von jeder Underlay-Adresse zu einer Overlay-Adresse. In diesem Labor erhält sie das letzte Oktett:
192.168.1.Xim OT-Underlay entspricht100.64.1.Xim Overlay. - Eine quellenbasierte Route auf dem Router gleicht den Datenverkehr anhand seiner Quelle ab (das gesamte OT-Subnetz
192.168.1.0/24) und sendet ihn über den Interconnect an das Access Gate, unabhängig vom Ziel. Access Gate wendet Enclave-Richtlinie und Verschlüsselung an, präsentiert das Gerät der Gegenseite durch seine Overlay-Identität und NATet den Rückweg zurück zum realen Gerät.
Da die Entscheidung auf dem Router anhand der Quelladresse getroffen wird, wird das gesamte Subnetz mit einer einzigen Regel umgeleitet, und die Geräte behalten ihre eigene IP, ihr Gateway und ihr Routing unangetastet.
Referenzlabor
Das Beispiel führt ein OT-Netzwerk zu einem IT-Dienst, der klassische Fall, für den quellenbasiertes Routing gebaut ist.
| Element | Adresse | Rolle |
|---|---|---|
| OT-Gerät (PLC) | 192.168.1.10 Underlay, 100.64.1.10 Overlay | Ursprungsgerät im OT-Subnetz, unverändert |
| IT-Server | 192.168.2.20 | Ziel, mit dem das OT-Gerät kommuniziert |
| Router / L3-Gateway | 192.168.1.1 (OT), Interconnect zu Access Gate | Quellenbasiertes Routing: OT-Subnetz → Access Gate |
| Access Gate | Interconnect 100.65.0.4/29, OT-Overlay 100.64.1.0/24 | Enclave-Richtlinie, Identität, Verschlüsselung, NAT |
Das Overlay erhält das letzte Oktett: 192.168.1.X im OT-Subnetz entspricht 100.64.1.X im Overlay, sodass die PLC (192.168.1.10) als 100.64.1.10 repräsentiert wird.
Einen Secure Twin mit Source-Based Routing bereitstellen, Schritt für Schritt
1. Das Ursprungssubnetz in Access Gate konfigurieren
Erstellen Sie in Access Gate ein Subnetz für das OT-Netzwerk und geben Sie ihm ein Overlay, sodass jedes Gerät eine Secure-Twin-Adresse erhält. In diesem Labor wird das OT-Underlay 192.168.1.0/24 dem Overlay 100.64.1.0/24 zugeordnet. Für das Definieren von Subnetzen, Overlays und des Secure-Twin-Ports in der Benutzeroberfläche siehe Twin IPs.
2. Das Ursprungsnetzwerk per Quellenrouting über Access Gate leiten
Fügen Sie auf dem Router eine quellenbasierte (Policy-)Route hinzu: Alles, was aus dem OT-Subnetz stammt, wird über den Interconnect an das Access Gate gesendet, unabhängig von seinem Ziel.
# Auf dem Router: alles, was aus dem OT-Subnetz stammt, per Policy-Route über Access Gate leiten
ip rule add from 192.168.1.0/24 table 100
ip route add default via 100.65.0.4 table 100 # Access Gate Interconnect
Nur das Ursprungssubnetz wird abgeglichen, sodass Datenverkehr aus anderen Netzwerken unangetastet bleibt. Auf einem Router eines Herstellers ist dies dieselbe Idee, ausgedrückt als Route-Map- / Policy-Based-Routing-Regel, die am Quellpräfix ansetzt.
3. Den vollständigen Pfad überprüfen
Erreichen Sie von einem OT-Gerät aus den IT-Server genau wie zuvor. Der Router lenkt den Datenfluss nun auf dem Weg nach draußen durch das Access Gate.
ping -c3 192.168.2.20 # vom OT-Gerät (192.168.1.10)
Auf dem Access Gate erscheint der Datenfluss unter der OT-Enclave mit der Overlay-Identität des Geräts (100.64.1.10); Richtlinie, Identität und Verschlüsselung werden angewendet, bevor das Paket an 192.168.2.20 weitergeleitet wird, und die Antwort wird zurück zum realen Gerät geNATet.
Wie der vollständige Pfad aussieht
OT device (192.168.1.10) [reaches IT server 192.168.2.20 as usual]
-> Router / L3 gateway [source-based route: from 192.168.1.0/24 -> Access Gate interconnect]
-> Access Gate (enclave policy, identity, encryption) [presents OT device as overlay 100.64.1.10]
-> IT server (192.168.2.20) [sees the OT device by its overlay identity]
-> and back through Access Gate, NATed to the OT device (192.168.1.10)
Aus Sicht des OT-Geräts hat es den IT-Server unter seiner üblichen Adresse erreicht. In Wirklichkeit hat der Router den Datenverkehr des gesamten Subnetzes durch das Access Gate gelenkt, das Enclave-Richtlinie und Verschlüsselung durchsetzte und das Gerät durch seine Overlay-Identität repräsentierte, ohne Änderung an Adresse, Gateway oder Routing eines einzigen Geräts.
Wann Sie das einsetzen, und wann nicht
Eine einzige Router-Policy bringt ein ganzes Subnetz oder VLAN unter den Secure Twin, und sie lässt sich wie jede andere Routing-Änderung ausrollen und zurücknehmen. Die Einheit der Änderung ist ein Netz und kein Gerät, und genau das macht sie zum Einstieg für eine größere Migration.
Das passt, wenn Sie eine Policy-Route am Router hinzufügen können, die Endgeräte genau so bleiben müssen, wie sie sind, und eine Migration Asset für Asset zu lange dauern würde.
Nutzen Sie einen anderen Weg, wenn Sie den Pfad lieber an einem einzelnen Asset prüfen, bevor Sie ein ganzes Netz darauf festlegen. Twin DNS und Twin IPs sind die Methoden pro Asset, und dort fängt man normalerweise an. Siehe Ihr Secure-Twin-Deployment wählen.