Schnellstart

Sie stellen Access Gate in vier Schritten vor Ihre Maschinen. Erfassen Sie Ihr Netzwerk aus einer kurzen Aufzeichnung. Wandeln Sie diese Karte in ein Inventar und Enklaven um. Schließen Sie das Gerät neben Ihrem Router an. Leiten Sie dann den Datenverkehr mit einer einzigen Regel durch das Gerät. An den Maschinen ändert sich nichts, und wenn Sie diese eine Regel entfernen, ist alles wie vorher.

1. Netzwerk aus einer Aufzeichnung erfassen

Eine Aufzeichnung (eine .pcap-Datei) ist ein Mitschnitt des Datenverkehrs in Ihrem Netzwerk. Access Gate baut alles Weitere darauf auf, sodass Sie Ihre Maschinen nie aktiv scannen müssen.

1. Zeichnen Sie einige Minuten normalen Produktionsbetrieb auf, bis zu 500 MB. Schließen Sie einen Laptop an einen Mirror-Port (SPAN-Port) des Switches an, den Ihre Maschinen verwenden, und zeichnen Sie mit Wireshark oder tcpdump auf. Verwenden Sie den Maschinen-Switch statt des zentralen Uplinks: Er ist ruhiger und liefert eine sauberere Karte. Die Aufzeichnungsanleitung enthält die genauen Befehle.
2. Öffnen Sie die Aufzeichnung im Netzwerkanalysator. Er läuft in Ihrem Browser, und die Datei wird nie hochgeladen. Sie sehen jede Maschine, wer mit wem kommuniziert, wo die IT in die OT hineinreicht, und vorgeschlagene Zonen.
3. Exportieren Sie die Karte: Export, dann Everything. Sie enthält die Liste Ihrer Maschinen und die vorgeschlagenen Zonen, nicht Ihren rohen Datenverkehr.

2. Inventar und Enklaven erstellen

Zwei Dinge bestimmen, was Access Gate schützt:

• Das Inventar ist die Liste Ihrer Maschinen, jede mit einem Namen, unter dem Sie sie wiedererkennen: SPS Linie 2, HMI Verpackung.
• Eine Enklave ist eine Gruppe von Maschinen zusammen mit den Personen und Systemen, die auf sie zugreifen dürfen: Zelle Linie 2, CUI-Systeme.

Wenn wir Ihr Gerät vorgeladen haben, sind beide bereits vorhanden. Andernfalls schließen Sie zuerst das Admin-Kabel an (Schritt 3) und erstellen Sie sie in der Konsole mit wenigen Klicks. Access Gate sieht Ihre Maschinen anhand einer Kopie des Datenverkehrs (Mirror-Port oder NetFlow von Ihrem Router), siehe Configure the monitoring port.

1. Monitor zeigt jede Maschine, die Access Gate erkennt. Legen Sie jede unter Assets mit Create Asset an, mit Namen und IP-Adresse.
2. Benennen Sie unter Enclaves → Create Enclave die Enklave und klicken Sie auf Save.
3. Öffnen Sie die Enklave, klicken Sie auf Edit Principals, und fügen Sie die zugehörigen Maschinen sowie die Benutzer oder Gruppen hinzu, die Zugriff benötigen.
4. Klicken Sie in der Tabelle auf eine Blocked-Kachel und aktivieren Sie sie für jeden Zugriff, den Sie erlauben möchten. Alles andere bleibt gesperrt.

Weitere Details: Build your asset inventory und Protect a machine with an enclave.

3. Access Gate verbinden

Access Gate sitzt neben Ihrem Router oder Switch, nicht in der Mitte Ihres Netzwerks. Für Ihre Maschinen ändert sich durch den Anschluss nichts.

Sie benötigen zwei Kabel und zwei freie Ports an Ihrem Router oder Switch:

1. Admin-Kabel: von Ihrem Admin-Netzwerk zum Admin-Port von Access Gate (normalerweise Port 5). Darüber erreichen Sie die Konsole.
2. Schutzkabel: von einem kleinen dedizierten VLAN oder Subnetz, zum Beispiel 100.65.0.0/29, zum Schutz-Port von Access Gate (normalerweise Port 1). Geben Sie darin Ihrem Router die Adresse 100.65.0.1 und dem Gate die Adresse 100.65.0.6.
3. Fügen Sie eine Route auf Ihrem Router hinzu: Leiten Sie 100.64.0.0/16 an 100.65.0.6 weiter. In diesem Adressbereich gibt Access Gate jeder Maschine eine Twin-Adresse. Noch nutzt ihn nichts, die Route ändert also nichts.

Öffnen Sie dann die Konsole:

1. Rufen Sie https:// gefolgt von der Adresse des Admin-Ports auf. Das Gerät bezieht eine Adresse aus Ihrem Admin-Netzwerk per DHCP oder verwendet nach etwa einer Minute 10.0.0.1, falls kein DHCP verfügbar ist.
2. Akzeptieren Sie die Zertifikatswarnung und melden Sie sich mit admin / hello an.
3. Ändern Sie unter Settings → Accounts das Admin-Passwort und erstellen Sie Ihren eigenen Benutzer.
4. Prüfen Sie Assets und Enclaves: Ihr Inventar und Ihre Enklaven aus Schritt 2 sind dort vorhanden.

Die genauen Menüs für Ihre Geräte: Cisco Catalyst, Cisco Meraki, Fortinet FortiGate, Ubiquiti UniFi, MikroTik.

4. Mit einer Regel umschalten

Leiten Sie nun den Datenverkehr Ihrer Maschinen durch Access Gate. Eine Regel auf Ihrem Router genügt für ein ganzes Subnetz oder VLAN: Alles, was aus diesem Subnetz kommt, geht zuerst zum Gate.

! Cisco example: everything from the machine subnet 192.168.1.0/24 goes to the gate
ip access-list extended MACHINES
 permit ip 192.168.1.0 0.0.0.255 any
route-map TO-ACCESS-GATE permit 10
 match ip address MACHINES
 set ip next-hop 100.65.0.6
interface Vlan1
 ip policy route-map TO-ACCESS-GATE

Die Maschinen behalten ihre Adresse, ihr Gateway und ihre Einstellungen. Auf ihnen wird nichts installiert.

Prüfen Sie, ob es funktioniert. Rufen Sie von einer Maschine aus wie gewohnt etwas auf, mit dem sie normalerweise kommuniziert. In der Konsole erscheint der Datenfluss nun unter seiner Enklave.

Rückgängig machen. Entfernen Sie die Regel. Der Datenverkehr läuft sofort wieder wie vorher.

Ein großer Hersteller in North Carolina hat auf diese Weise eine laufende Produktionslinie in weniger als einer Minute hinter Access Gate gebracht, mit einer einzigen Regel auf dem vorhandenen Cisco-Switch. Die Produktion lief weiter.

Wenn der Trockenlauf die erwarteten Regeln anzeigt, genehmigen Sie sie. Access Gate sperrt dann alles, was Sie nicht explizit erlaubt haben.

Was Sie jetzt haben

• Ein Inventar aller Maschinen im Netzwerk, mit Namen versehen.
• Enklaven, die festlegen, wer auf welche Maschine zugreifen darf.
• Jeden Datenfluss aus diesem Subnetz durch Access Gate geleitet und protokolliert, ohne Änderungen an den Maschinen.

Nächste Schritte

• Ihre ersten drei Wochen: Benutzer hinzufügen, Fernzugriff für Dienstleister und Audit-Berichte.
• Anmeldung erzwingen, bevor Benutzer eine Maschine erreichen.
• Andere Möglichkeiten, Ihre Maschinen anzubinden, falls Sie keine Regel auf Ihrem Router hinzufügen können.

Fehlerbehebung

Die Konsole öffnet sich nicht

• Prüfen Sie beide Kabel und die Link-LEDs.
• Verwenden Sie https://, nicht http://.
• Suchen Sie die Adresse des Admin-Ports in Ihren DHCP-Leases oder versuchen Sie 10.0.0.1.
• Stellen Sie sicher, dass keine Firewall Port 443 zwischen Ihnen und dem Admin-Netzwerk sperrt.

Im Monitor erscheinen keine Maschinen

• Prüfen Sie, ob der Monitoring-Port eine Kopie des Datenverkehrs empfängt (Mirror-Port oder NetFlow von Ihrem Router).
• Prüfen Sie, ob der Mirror beide Richtungen und ein VLAN abdeckt, in dem Maschinen aktiv sind.
• Sehen Sie unter Settings → Logs nach Fehlern.

Ein Datenfluss erscheint nach der Regel nicht

• Prüfen Sie, ob die Regel das richtige Subnetz erfasst und auf 100.65.0.6 zeigt.
• Prüfen Sie, ob die Route 100.64.0.0/16 aus Schritt 3 vorhanden ist: Antworten benötigen sie für den Rückweg.
• Prüfen Sie, ob die Firewall der Maschine, falls sie eine hat, die Access-Gate-Adresse zulässt.