Architekturübersicht

Access Gate ist eine VNF (virtualisierte Netzwerkfunktion): Der Sicherheits-Stack ist von proprietärer Hardware entkoppelt und läuft daher als VM auf dem x86-Host, den Sie bereits besitzen. Das hat zwei Konsequenzen, die es einzuplanen lohnt.

• Sie wählen den Footprint. Dieselbe Funktion läuft auf einer Appliance, einem Mini-PC an einem entfernten Standort oder als VM auf einem vorhandenen Hypervisor. Sicherheit hängt nicht länger von einer bestimmten Box ab.
• Der Host wird zur Diensteplattform. Da das Gate ohnehin im Datenpfad sitzt (oder daneben), kann derselbe Host die sicheren Dienste betreiben, die OT einbinden müssen: Remote-Zugriff, Protokoll-Gateways, DNS und Zeit, File Sharing, einen Historian oder Dashboards sowie einen Update-Server, jeweils über dieselben Identitäts- und Zugangsrichtlinien vermittelt.

Deshalb geht es bei den Bereitstellungsentscheidungen unten um Abdeckung und Auswirkung, nicht um den Kauf zusätzlicher Hardware. Siehe PKI mit Access Gate bereitstellen für einen so modellierten Dienst.

In-Line ist die einfachste Art, ein Access Gate bereitzustellen. Die Appliance wird in den Datenpfad eingefügt und trägt die VLANs, Routen und den zentralen Switch des Netzwerks selbst.

• Access Gate wird über einen Trunk-Port (getaggte VLANs) mit dem Access-Switch verbunden (zum Beispiel Cisco Catalyst, Fortinet- oder Netgear-Switches) und führt diese VLANs durch das Gate.
• Die Maschinen im Netzwerk nutzen Access Gate als Gateway.

Da das Gate inline ist und die VLANs trägt, lässt sich der Secure Twin bereitstellen: ein gerouteter Layer-3-Twin der Adresse eines Assets, mit dem Access Gate dessen Datenverkehr abfangen und kontrollieren kann. Wie bei jedem Inline-Netzwerkgerät sollten Sie daher Verfügbarkeit (zum Beispiel ein Hochverfügbarkeitspaar) und Redundanz einplanen.

Die Maschinen erreichen den Twin auf eine von zwei Arten:

• direkte Konfiguration auf der Maschine, über die IP-Adresse des Twins;
• NAT zwischen VLANs.

Diese Konfiguration erlaubt konstruktionsbedingt weiterhin Verkehr zwischen Maschinen über ihre Underlay-Adressen, wenn der Verkehr „unterhalb" des Kontrollpunkts stattfindet. Daher der folgende Hinweis 👇

Aktive (L3) Intra-VLAN-Interception

Der Datenverkehr zwischen zwei Maschinen im selben VLAN wird auf Schicht 2 geswitcht und erreicht das Gateway nie, sodass seine Interception eines dieser Muster erfordert:

• eine Twin-IP auf den abzusichernden Flüssen, zum Beispiel ein Gateway-System, das mit einem Collector kommuniziert;
• nur passives Mithören, der empfohlene Fall für isochrone oder Broadcast-Systeme, bei denen ein Inline-L3-Hop das Timing oder Multicast unterbrechen würde;
• die Migration eines Systems in ein anderes VLAN, zum Beispiel eine SCADA-Leitstation, und sein Ersatz durch einen ARP-Proxy auf Access Gate in seinem ursprünglichen VLAN.

Lollipop ist die Option mit geringer Auswirkung. Access Gate wird neben dem Netzwerk angeschlossen, statt dessen VLANs und Trunks zu tragen, und der Datenverkehr wird logisch statt physisch zum Gate gelenkt. Passend, wenn Sie bereits über einen managed Switch verfügen und einige Routen einführen können und die geringstmögliche Störung eines laufenden Standorts wünschen.

Wann Lollipop passt

Wählen Sie Lollipop, wenn das vollständige Tragen der VLANs mehr ist, als Sie im Moment brauchen:

• Sie haben einen managed Switch und können Routen hinzufügen: Die Durchsetzung wird über DNS und Routing umgeleitet, sodass kein Neuverkabeln auf einen Trunk-Port erforderlich ist.
• Sie möchten minimale Störung: Die vorhandenen Routen, VLANs und die IP-Adressierung bleiben intakt, was die Änderung an einem Brownfield-Standort klein hält.
• Sie schützen bestimmte Zugriffspfade: Lollipop setzt die Flüsse durch, die Sie darauf ausrichten, statt jedes VLAN durch das Gate zu tragen.

So verhält es sich nach der Bereitstellung:

• Benachbarte Platzierung: Das Gerät befindet sich neben dem Netzwerk, nicht im zentralen Datenpfad.
• Software-definierte Weiterleitung: Datenverkehr wird über DNS und Routing umgeleitet.
• Graceful Degradation: Das Netzwerk funktioniert weiter, wenn das Gerät offline ist.
• Keine physischen Netzwerkänderungen: Für den Start muss nichts an der Switch-Fabric neu verkabelt werden.

Wenn Sie stattdessen die umfassendste Abdeckung und Kontrolle benötigen, stellen Sie In-Line bereit, sodass das Gate die VLANs und Trunks selbst trägt. Lollipop und In-Line sind zwei Punkte auf derselben Skala: benachbart für geringere Auswirkung, inline für vollständigeres Tragen.

Datenverkehrsfluss

Ohne Access Gate (Underlay-Netzwerk): Client → Asset

Mit Access Gate (Overlay-Netzwerk aktiv): Client → Access Gate (proxy) → Asset

Der Client erreicht das Asset nie direkt; er geht stets über den Proxy. Access Gate beendet die Client-Sitzung und öffnet eine separate, zweite Sitzung zum Asset (im Diagramm unten dargestellt).

Da jede Sitzung auf diese Weise vermittelt wird, kann Access Gate identitätsbasierte Authentifizierung, Zugangskontrolle und Sitzungsprotokollierung vor Assets durchsetzen, die selbst über keine dieser Funktionen verfügen.

Funktionsweise

• Sichtbarkeit: Access Gate beobachtet den Datenverkehr über einen NetFlow-Feed vom Router (NetFlow dient nur der Erkennung und Überwachung, nicht der Durchsetzung). Siehe Datenverkehrsüberwachung und NetFlow-Export.
• Overlay: Es erstellt einen Overlay-IP-Adressraum (üblicherweise 100.64.0.0/16), der geschützte Dienste auf proxy-gesicherte Pfade abbildet.
• Durchsetzung: DNS löst geschützte Hostnamen in Overlay-IP-Adressen auf, und Routing leitet diesen Overlay-Datenverkehr durch Access Gate.
• Assets verbleiben unverändert in ihrem ursprünglichen Underlay-Netzwerk.

Vorteile

• Nichts wird dem zentralen Datenpfad hinzugefügt
• Keine physischen Netzwerkänderungen erforderlich
• Einfache Bereitstellung und Entfernung
• Das Netzwerk arbeitet normal weiter, wenn Access Gate offline ist

Was es ist: Access Gate wird zum einzigen kontrollierten Zugangspunkt für Benutzer, die von außerhalb des Standorts zugreifen. Remote-Benutzer verbinden sich per VPN (Tailscale/WireGuard) mit Access Gate, das den Zugriff auf geschützte Assets über seinen Proxy vermittelt. Siehe Remote-Zero-Trust-Zugriff und Privileged Access Management für die benutzerbezogenen Modelle.

Warum dieser Modus existiert (das Problem, das er löst): Remote-Zugriff auf OT / sensible IT-Systeme läuft in der Praxis meist auf eines dieser Muster hinaus:

• Flaches VPN ins LAN
• Jump Box / RDP-Server
• Remote-Tools von Lieferanten

Was der Bastion-Modus verbessert

• Least-Privilege-Remote-Zugriff
• Stärkere Netzwerkgrenze
• Nachvollziehbarkeit
• Betriebssicherheit
• Lieferantenzugriff ohne dauerhafte Exposition

Wann dieser Modus geeignet ist

• Sie benötigen Remote-Zugriff für Operatoren, IT, Lieferanten oder Incident Response.
• Sie möchten vermeiden, dass „VPN = im LAN" gilt.
• Sie benötigen konsistente Protokolle und Nachweise für NIS2/CMMC/NIST-konforme Kontrollen.

Access Gate fungiert als VPN-Gateway und ermöglicht Remote-Benutzern den sicheren Zugriff auf Vor-Ort-Assets. Der Netzwerkfluss sieht wie folgt aus:

Remote Users → VPN (Tailscale / WireGuard) → Access Gate → Protected Assets

Was es ist: Mehrere Access Gates bilden ein verschlüsseltes Mesh zwischen Standorten. Jeder Standort behält sein lokales Underlay unverändert, ausgewählte Assets und Dienste werden jedoch über kontrollierte, identitätsbasierte Richtlinien standortübergreifend erreichbar.

Warum dieser Modus existiert (das Problem, das er löst): Organisationen mit mehreren Standorten haben häufig folgende Situation:

• Flache Site-to-Site-VPNs
• Komplexes Netzwerk-Engineering
• Uneinheitliche Kontrollen je Standort

Was das Mesh verbessert

• Zero Trust standortübergreifend: Alice an Standort A erhält Zugriff auf eine bestimmte CNC an Standort B, identitätsverifiziert, ohne lateralen Zugriff auf irgendetwas anderes. Siehe Standortübergreifende Entitätsfreigabe.
• Einheitliche Sicherheitslage
• Schnelleres Rollout
• Zentralisiertes Logging und Dokumentation für Auditoren

Typische Anwendungsfälle

• Ein zentrales Engineering-Team benötigt kontrollierten Zugriff auf Maschinen in verschiedenen Werken.
• Gemeinsame Dienste (Historians, Patch-Repositories, Backup, Monitoring) müssen sicher erreichbar sein.
• M&A- und Multi-Entity-Umgebungen, in denen Netzwerke getrennt bleiben müssen, aber Zusammenarbeit erforderlich ist.
• Sie möchten „Konnektivität als Richtlinie" statt „Konnektivität als Routing".

Mehrere Access Gates sind über VPN miteinander verbunden und ermöglichen sichere Site-to-Site-Konnektivität:

Site A Assets ← Access Gate A ←→ Access Gate B → Site B Assets

Voraussetzung: Konfiguration des Site-Mesh-Features, siehe Standortübergreifende Entitätsfreigabe.