Secure Twin mit quellenbasiertem Routing bereitstellen

Wenn Sie ein ganzes Netzwerk unter den Secure Twin bringen möchten, statt einen einzelnen Datenfluss oder ein einzelnes Gerät, ist quellenbasiertes Routing der Weg mit dem geringsten Aufwand. Anstatt einzelne Ziele abzugleichen, wird dem Router mitgeteilt, dass alles, was aus einem Ursprungssubnetz stammt, zum Beispiel einem OT-VLAN, über das Access Gate geroutet wird. Eine einzige Richtlinie auf dem Router zieht das gesamte Netzwerk durch das Gate; nicht ein einziges Gerät wird umkonfiguriert.

Das Ziel

Der häufigste Auslöser ist eine Migration. Ein Netzwerk, typischerweise OT, muss unter Zero-Trust-Durchsetzung gestellt werden, doch die Geräte darin lassen sich nicht umkonfigurieren: keine neue IP, kein neues Gateway, kein Agent. Oft möchten Sie den Schutz zudem in der Granularität eines ganzen VLANs oder Subnetzes auf einmal verlagern, nicht Gerät für Gerät.

Quellenbasiertes Routing löst dies auf dem Router. Sie belassen jedes OT-Gerät exakt so, wie es ist, und ändern eine einzige Sache im Netzwerk: die Richtlinie des Routers für Datenverkehr, der dieses Subnetz verlässt. Von da an sieht das Access Gate die East-West- und North-South-Datenflüsse des Netzwerks, wendet Enclave-Richtlinie, Identität und Verschlüsselung an und repräsentiert jedes Gerät gegenüber dem restlichen Netzwerk durch seine Overlay-Identität. Die Migration eines VLANs unter den Secure Twin wird zu einer einzigen Routing-Änderung, die Sie stufenweise einführen und zurückrollen können.

So funktioniert es

Zwei Bausteine wirken zusammen, und keiner davon befindet sich auf den Geräten:

• Der Overlay-Bereich gibt dem Ursprungssubnetz einen Secure Twin: eine 1:1-Zuordnung (ein „binat") von jeder Underlay-Adresse zu einer Overlay-Adresse. In diesem Labor erhält sie das letzte Oktett: 192.168.1.X im OT-Underlay entspricht 100.64.1.X im Overlay.
• Eine quellenbasierte Route auf dem Router gleicht den Datenverkehr anhand seiner Quelle ab (das gesamte OT-Subnetz 192.168.1.0/24) und sendet ihn über den Interconnect an das Access Gate, unabhängig vom Ziel. Access Gate wendet Enclave-Richtlinie und Verschlüsselung an, präsentiert das Gerät der Gegenseite durch seine Overlay-Identität und NATet den Rückweg zurück zum realen Gerät.

Da die Entscheidung auf dem Router anhand der Quelladresse getroffen wird, wird das gesamte Subnetz mit einer einzigen Regel umgeleitet, und die Geräte behalten ihre eigene IP, ihr Gateway und ihr Routing unangetastet.

Referenzlabor

Das Beispiel führt ein OT-Netzwerk zu einem IT-Dienst, der klassische Fall, für den quellenbasiertes Routing gebaut ist.

Das Overlay erhält das letzte Oktett: 192.168.1.X im OT-Subnetz entspricht 100.64.1.X im Overlay, sodass die PLC (192.168.1.10) als 100.64.1.10 repräsentiert wird.

Schritt für Schritt

1. Das Ursprungssubnetz in Access Gate konfigurieren

Erstellen Sie in Access Gate ein Subnetz für das OT-Netzwerk und geben Sie ihm ein Overlay, sodass jedes Gerät eine Secure-Twin-Adresse erhält. In diesem Labor wird das OT-Underlay 192.168.1.0/24 dem Overlay 100.64.1.0/24 zugeordnet. Für das Definieren von Subnetzen, Overlays und des Secure-Twin-Ports in der Benutzeroberfläche siehe Secure Twin mit Twin IPs bereitstellen.

2. Das Ursprungsnetzwerk per Quellenrouting über Access Gate leiten

Fügen Sie auf dem Router eine quellenbasierte (Policy-)Route hinzu: Alles, was aus dem OT-Subnetz stammt, wird über den Interconnect an das Access Gate gesendet, unabhängig von seinem Ziel.

# Auf dem Router: alles, was aus dem OT-Subnetz stammt, per Policy-Route über Access Gate leiten
ip rule add from 192.168.1.0/24 table 100
ip route add default via 100.65.0.4 table 100   # Access Gate Interconnect

Nur das Ursprungssubnetz wird abgeglichen, sodass Datenverkehr aus anderen Netzwerken unangetastet bleibt. Auf einem Router eines Herstellers ist dies dieselbe Idee, ausgedrückt als Route-Map- / Policy-Based-Routing-Regel, die am Quellpräfix ansetzt.

3. Den vollständigen Pfad überprüfen

Erreichen Sie von einem OT-Gerät aus den IT-Server genau wie zuvor. Der Router lenkt den Datenfluss nun auf dem Weg nach draußen durch das Access Gate.

ping -c3 192.168.2.20   # vom OT-Gerät (192.168.1.10)

Auf dem Access Gate erscheint der Datenfluss unter der OT-Enclave mit der Overlay-Identität des Geräts (100.64.1.10); Richtlinie, Identität und Verschlüsselung werden angewendet, bevor das Paket an 192.168.2.20 weitergeleitet wird, und die Antwort wird zurück zum realen Gerät geNATet.

Der vollständige Pfad

OT device (192.168.1.10)  [reaches IT server 192.168.2.20 as usual]
  -> Router / L3 gateway  [source-based route: from 192.168.1.0/24 -> Access Gate interconnect]
  -> Access Gate (enclave policy, identity, encryption)  [presents OT device as overlay 100.64.1.10]
  -> IT server (192.168.2.20)  [sees the OT device by its overlay identity]
  -> and back through Access Gate, NATed to the OT device (192.168.1.10)

Aus Sicht des OT-Geräts hat es den IT-Server unter seiner üblichen Adresse erreicht. In Wirklichkeit hat der Router den Datenverkehr des gesamten Subnetzes durch das Access Gate gelenkt, das Enclave-Richtlinie und Verschlüsselung durchsetzte und das Gerät durch seine Overlay-Identität repräsentierte, ohne Änderung an Adresse, Gateway oder Routing eines einzigen Geräts.

Eine Regel, um ein ganzes Netzwerk zu migrieren

Quellenbasiertes Routing ist die Methode, zu der Sie greifen, wenn die Einheit der Änderung ein Netzwerk ist, kein Gerät: Eine einzige Router-Richtlinie bringt ein ganzes Subnetz oder VLAN unter den Secure Twin, und sie lässt sich wie jede Routing-Änderung stufenweise einführen und zurückrollen. Sie passt natürlich zu Migrationen auf Geräte- oder VLAN-Ebene, bei denen die Endpunkte exakt so bleiben müssen, wie sie sind.

Wenn Sie stattdessen Kontrolle pro Datenfluss statt über ein ganzes Subnetz benötigen, verwenden Sie Gateway-NAT (L3); wenn Sie das Asset ändern können, ist IP-Änderung einfacher; und wo die beiden Geräte ein Segment ohne L3-Hop dazwischen teilen, erledigt es ARP-Proxying (L2) auf Layer 2.