Configurar zonas

Una zona es un rango de direcciones con nombre que Access Gate conoce: dónde están realmente sus máquinas, cómo se accede a ellas, qué tipo de red es y el nombre DNS que comparten sus máquinas. Las zonas se gestionan desde Settings > Zones.

Las zonas intervienen en todo Access Gate. La detección genera una alerta cuando el tráfico pasa de una zona a otra por donde no debería, las reglas de acceso pueden añadir una zona completa en un solo paso, cada máquina toma el nombre DNS de su zona y la VPN anuncia los rangos de las zonas a los usuarios remotos.

Qué contiene una zona

Zonas y VLANs

Una zona no lleva ID de VLAN. Lo que la une a una VLAN es el rango de direcciones: si le das como underlay la subred de la VLAN, zona y VLAN describen las mismas máquinas. Lo habitual es empezar con una zona por VLAN.

Ahora bien, una zona no tiene por qué coincidir con una VLAN. Cualquier rango puede ser una zona:

• Parte de una VLAN. Para tratar por separado algunas máquinas de una red plana, dales un rango propio, más pequeño. En el ejemplo, CUI Vault es el /26 que contiene las máquinas que reciben CUI.
• Una red de enlace. Overlay Link es el /29 entre Access Gate y el router.
• Una sede remota o un pool VPN. Una subred a la que se llega a través de un router o un túnel es una zona como cualquier otra. Cuando la VPN Tailscale está conectada, Access Gate crea por sí solo las zonas de la tailnet: vpn_<pool> para el pool de direcciones y ts_<subnet> para las subredes que anuncian otras máquinas de la tailnet. No tienen icono de papelera porque las gestiona la VPN.

Direct o Twin

• Direct: se accede a las máquinas por su dirección real. La zona solo tiene un rango underlay.
• Twin: cada máquina recibe además una dirección twin en el rango overlay, y el tráfico enviado a esa dirección pasa por Access Gate antes de llegar a la máquina. La dirección twin conserva el número de host de la máquina: en MACHINING, al switch 10.0.14.25 se llega a través de Access Gate en 10.0.15.25.

Dale al rango overlay el mismo tamaño que al underlay, para que cada máquina tenga su twin. Cómo llega el tráfico a las direcciones twin se explica en Elige cómo conectar tus máquinas.

Nombres DNS

El DNS name de una zona es la parte final del nombre de todas sus máquinas. Cada máquina tiene su propio prefijo, configurado en la ficha del activo (Dale a tus máquinas nombres fáciles), y Access Gate une ambas partes:

Así, en una zona Twin, quien usa el nombre pasa por Access Gate sin necesidad de conocer la dirección twin. Puedes comprobar cualquier nombre consultando directamente a Access Gate (aquí, en su dirección de interconexión):

dig @10.0.16.6 mc-sw01.bluelab.secure +short
# 10.0.15.25

Hay dos maneras de plantear los nombres DNS:

• Un dominio para toda la instalación, compartido por varias zonas (bluelab.secure en el ejemplo). En ese caso, los nombres de máquina no pueden repetirse entre esas zonas.
• Un subdominio por zona (finishing.ridgeline.secure, quality-lab.ridgeline.secure). El nombre indica dónde está la máquina, y el mismo prefijo puede repetirse en dos zonas.

Para que los equipos puedan usar estos nombres, tienen que resolverlos a través de Access Gate: reenvía cada dominio desde tu DNS corporativo hacia Access Gate, como se explica en Protege una máquina a la que accedes por su nombre. Con la VPN Tailscale, Access Gate publica por sí solo los dominios en la tailnet como split DNS.

Type e Impact

El campo Type indica qué tipo de red es la zona y determina qué cruces entre zonas se detectan (consulta Zonas de Red para Detección):

El campo Impact fija el peso de la zona en alertas e informes (consulta Matriz de Riesgo y Etiquetas de Subred). La mayoría de las zonas OT parten de Limited; las que contienen CUI o sistemas de seguridad funcional suben de nivel.

Añadir una zona

1. Ve a Settings > Zones y haz clic en Add new zone.
2. Introduce el Name, elige el Type y el Impact.
3. Introduce el DNS name.
4. Elige Direct o Twin, introduce el Underlay IP+Prefix y, si es una zona Twin, también el Overlay IP+Prefix.
5. Añade una Description si te sirve, por ejemplo el nivel Purdue.
6. Haz clic en Save.

Para modificar una zona más adelante, haz clic en su icono de lápiz. Se puede editar todo salvo el nombre DNS.

Resumen

Hemos descrito la red a Access Gate en forma de zonas: un nombre, un tipo y un impacto, el rango real de las máquinas y, para las zonas Twin, el rango twin que pasa por Access Gate. Hemos hecho corresponder cada zona con su VLAN a través de la subred, y hemos usado otros rangos donde una VLAN no encajaba. Cada zona tiene un nombre DNS: Access Gate lo combina con el prefijo de cada máquina y responde con la dirección twin o con la real.

Vuelve a esta guía cuando pongas en marcha una nueva instalación, añadas un segmento de red o quieras acceder a las máquinas por su nombre.

Relacionado

• Dale a tus máquinas nombres fáciles
• Protege una máquina a la que accedes por su nombre
• Elige cómo conectar tus máquinas
• Zonas de Red para Detección
• Matriz de Riesgo y Etiquetas de Subred