Desplegar Access Gate con Fortinet FortiGate

Esta guía lleva un Fortinet FortiGate desde "Access Gate en el rack" hasta "tráfico OT fluyendo a través del gate", de principio a fin. Se conectan dos puertos, se asigna al gate un lugar en la red y se elige cómo llega el tráfico. Nada cambia en los dispositivos OT. Se muestra la CLI; cada paso tiene su equivalente en Network y Policy & Objects en la GUI.

Qué se construirá

Access Gate es un appliance físico que se cablea a dos puertos en dos subredes distintas: un puerto de administración en la VLAN de administración y un puerto de protección en una pequeña subred dedicada que transporta el tráfico que se dirige a través del gate.

Laboratorio de referencia

1. Conectividad física: dos puertos, dos subredes

Coloque el puerto de administración y el puerto de protección en subredes distintas para que el tráfico de gestión y el tráfico dirigido nunca compartan un dominio de difusión. Use dos puertos físicos (o dos subinterfaces VLAN en un trunk).

config system interface
    edit "admin"
        set ip 192.168.254.1 255.255.255.0
        set allowaccess ping https ssh
        set interface "port5"
        set vlanid 254
    next
    edit "ag-protect"
        set ip 100.65.0.1 255.255.255.248
        set allowaccess ping
        set interface "port1"
        set vlanid 65
    next
end

Cablee el puerto del FortiGate que lleva admin al puerto de administración (5) de Access Gate, y el puerto que lleva ag-protect al puerto de protección (1). La interfaz de administración obtiene un lease DHCP de la VLAN de administración, o toma por defecto 10.0.0.1 tras aproximadamente un minuto si no hay ninguno; configúrela como estática en 192.168.254.50 desde la consola si prefiere una dirección fija.

2. Agregar una ruta para el overlay

Secure Twin reside en el overlay 100.64.0.0/16, el espacio de direcciones paralelo donde cada activo obtiene un twin. Agregue una ruta estática para que cualquier tráfico destinado a ese rango se reenvíe a través de 100.65.0.6, el puerto de protección de Access Gate (por la interfaz ag-protect):

config router static
    edit 0
        set dst 100.64.0.0 255.255.0.0
        set gateway 100.65.0.6
        set device "ag-protect"
    next
end

Léase así: para la red de destino 100.64.0.0/16, enviar el paquete a 100.65.0.6 por ag-protect. A partir de aquí, cualquier paquete dirigido a una dirección twin (overlay) sale del FortiGate por su enlace de protección, llega a Access Gate y el gate lo hace de proxy hacia el dispositivo real; por tanto, alcanzar una dirección twin es lo que hace que el flujo pase por el gate.

Agregue una política de firewall que permita el tráfico de la subred OT hacia ag-protect (y el retorno) para que el FortiGate reenvíe, en lugar de descartar, el tráfico dirigido.

3. Apuntar el DNS a Access Gate

El gate aloja un resolvedor en 100.65.0.6 que convierte nombres de activos en direcciones overlay. Puede usarlo para todo o solo para un subdominio.

• Todo: configure el resolvedor en el ámbito DHCP de OT:

  config system dhcp server
      edit 1
          set interface "ot"
          set dns-service specify
          set dns-server1 100.65.0.6
          config ip-range
              edit 1
                  set start-ip 192.168.1.100
                  set end-ip 192.168.1.200
              next
          end
      next
  end
  

• Solo subdominio: reenvíe únicamente secure.acme.corp al gate mediante una zona de base de datos DNS de FortiGate en modo forward, o agregue un reenviador condicional en el servidor DNS del sitio. Consulte Configuración del DNS de Access Gate.

4. Dirigir el tráfico a través del gate

Dos formas de llevar el tráfico al gate. El enrutamiento basado en origen protege lo que viene de una red: se filtra por dónde empezó el paquete. El enrutamiento basado en destino protege lo que va hacia un activo: se filtra por su destino. Use uno, otro, o ambos, según lo que quiera proteger. En ambos casos el Access Gate traduce entre la dirección real del activo y su gemelo.

config router policy
    edit 1
        set input-device "ot"
        set src "192.168.1.0/255.255.255.0"
        set gateway 100.65.0.6
        set output-device "ag-protect"
    next
end

config router static
    edit 10
        set dst 100.64.1.10/255.255.255.255
        set gateway 100.65.0.6
        set device "ag-protect"
    next
end

5. Verificar el camino completo

Desde un dispositivo OT, alcance un destino exactamente como antes. El FortiGate ahora dirige el flujo a través del gate en el camino de salida.

ping 192.168.2.20   # from the OT device (192.168.1.10)

En Access Gate, el flujo aparece bajo su enclave con la identidad overlay del dispositivo (100.64.1.10); la identidad, la política y el cifrado se aplican antes de reenviar el paquete, y la respuesta se hace NAT de vuelta al dispositivo real.

También puede probar la dirección IT a OT: desde un cliente IT, alcance un activo OT por su dirección twin o nombre DNS (ping 100.64.1.10). La ruta overlay lleva ese paquete al gate, que lo hace de proxy hacia el dispositivo real.

Qué reside en cada lugar

El FortiGate aloja una sola cosa: una regla que dice, en esencia, "estos paquetes, entrégalos a este siguiente salto." Ya se base en el origen o en el destino, es estática.

Todo lo demás reside en Access Gate: autenticación, las ACL del enclave, el proxy, la inyección de credenciales, la grabación de sesiones, la terminación TLS y el registro. Nada de eso es expresable en el FortiGate, y nada de eso va allí.

Vale la pena decirle esto al equipo de red de forma explícita, porque "necesitamos configurar su firewall" suena alarmante hasta que ven que es una regla de transferencia, no un motor de políticas. Su control de cambios ve una policy route, una sola vez.

Resumen

Se configuraron dos interfaces del FortiGate en dos subredes (VLAN de administración + protección /29), se colocó el gate en 100.65.0.6, se enrutó el overlay hacia él, se apuntó el DNS a su resolvedor y se dirigió el tráfico por origen, por destino, o ambos. El tráfico OT ahora fluye a través de Access Gate sin ningún cambio en los activos.

Relacionados

• Desplegar Secure Twin con enrutamiento basado en origen
• Configuración del DNS de Access Gate
• Desplegar Secure Twin mediante NAT de gateway (L3)
• Elegir un despliegue de Secure Twin