Access Gate utiliza el protocolo NTP para sincronizar su reloj de software. Un reloj correcto es fundamental para las marcas de tiempo de los registros, así como para la autenticación de certificados y túneles.
Por lo general, no es necesario configurar NTP, ya que Access Gate se autoconfigura basándose (1) en la información recibida de una concesión DHCP en su puerto Overlay, o (2) utiliza el valor predeterminado time.google.com si no se ha definido ninguno.
Verificar las reglas de firewall existentes para el acceso WAN de Access Gate
Las solicitudes NTP salen por el camino que Access Gate usa para alcanzar la hora de origen (no a través de las interfaces de monitoreo, administración u otras). En un despliegue overlay ese es la interfaz overlay; cuando Access Gate se despliega in-line, transportando VLAN o trunks y ya en el camino, las solicitudes siguen el camino in-line de forma nativa. En cualquier caso, asegúrese de que las reglas de firewall existentes permitan la conectividad WAN saliente para esa salida.
Para buscar posibles errores de configuración en los registros, utilice la consulta eq "timemngr@60446" [component] y eq "E" [level]:
Como ejemplo de configuración de NTP en un router:
/ip/dhcp-server-network
add address=100.65.0.0/29 gateway=100.65.0.1 ntp-server=100.65.0.2
Access Gate como fuente de tiempo para la OT
Mantener preciso el reloj de la propia puerta es solo la mitad de la historia. Como Access Gate es una VNF, un appliance virtual que se ejecuta en hardware x86 de su propiedad, la seguridad se desacopla de las cajas propietarias y el mismo host puede ejecutar los servicios seguros que incorporan la OT. La hora precisa es uno de esos servicios: una vez sincronizada la puerta, puede servir NTP a los activos que están por debajo de ella, de modo que los PLC, HMI e historiadores coinciden todos en el reloj sin que cada uno tenga que salir a internet.
Apunte los activos posteriores hacia el Access Gate como su servidor NTP. En un despliegue overlay alcanzan el servicio de tiempo a través del overlay; en un despliegue in-line, donde la puerta ya transporta las VLAN o trunks, el servicio es accesible de forma nativa en la red en el camino, sin necesidad de enrutamiento overlay. Servir la hora localmente mantiene coherentes las marcas de tiempo para registros, certificados y autenticación de túneles en toda la instalación, y elimina una dependencia saliente de cada dispositivo que de otro modo necesitaría su propio camino hacia una fuente de tiempo pública.
Resumen
Confirmamos que Access Gate puede alcanzar un servidor NTP a través de su camino de origen, revisamos las reglas de firewall para la conectividad WAN saliente y, opcionalmente, distribuimos un servidor NTP mediante DHCP desde el router. Recurra a esto cuando las marcas de tiempo de los registros sean incorrectas o cuando la autenticación de certificados y túneles falle por una desviación del reloj del appliance.