En un Cisco Meraki MX, conectas Access Gate con dos puertos, añades una ruta estática para las direcciones twin y añades una ruta basada en origen que envía el tráfico de la VLAN de tus máquinas a la puerta. Nada cambia en las máquinas, y eliminar la ruta basada en origen deshace todo.
Qué vas a construir
Los ejemplos usan estas direcciones. Sustitúyelas por las tuyas.
| Elemento | Ejemplo |
|---|---|
| VLAN de administración | VLAN 254, 192.168.254.0/24, MX 192.168.254.1 |
| VLAN dedicada para la puerta | VLAN 65, 100.65.0.0/29: MX 100.65.0.1, puerta 100.65.0.6 |
| Direcciones twin | 100.64.0.0/16 |
| Subred de tus máquinas | 192.168.1.0/24, PLC 192.168.1.10 (dirección twin 100.64.1.10) |
| Nombres de máquinas | secure.acme.corp, respondido por la puerta en 100.65.0.6 |
1. Conecta dos puertos
- En Security & SD-WAN → Configure → Addressing & VLANs, crea dos VLANs:
- VLAN 254:
192.168.254.0/24, IP del MX192.168.254.1(administración). - VLAN 65:
100.65.0.0/29, IP del MX100.65.0.1(VLAN propia de la puerta).
- VLAN 254:
- En Switch → Ports del MS, configura un puerto de acceso en VLAN 254 y otro en VLAN 65.
- Cablea el puerto de VLAN 254 al puerto de administración (5) de Access Gate y el puerto de VLAN 65 a su puerto de protección (1).
El puerto de administración obtiene una dirección de tu VLAN de administración por DHCP, o usa 10.0.0.1 tras aproximadamente un minuto si no hay ninguna. Puedes asignarle una dirección fija, como 192.168.254.50, desde la consola.
2. Añade la ruta para las direcciones twin
Access Gate asigna a cada máquina una dirección twin en 100.64.0.0/16. En Security & SD-WAN → Configure → Routing (Static routes), añade una ruta estática:
- Subnet:
100.64.0.0/16 - Next hop IP:
100.65.0.6 - Active: Always active
Todo lo que se envíe a una dirección twin va ahora a la puerta, que lo reenvía a la máquina real. Nada usa estas direcciones todavía, así que esto no cambia nada por sí solo.
3. Activa el cambio con una regla
En Security & SD-WAN → Configure → Addressing & VLANs, haz clic en Add source-based route:
- Source: la VLAN de tus máquinas (
192.168.1.0/24) - Next hop type: LAN
- Next hop IP:
100.65.0.6
Tus máquinas conservan su dirección, puerta de enlace y configuración. Para deshacer: elimina la ruta basada en origen.
4. Comprueba que funciona
Desde una máquina en esa VLAN (no desde el Meraki Dashboard, cuyos propios pings ignoran la regla), accede a algo fuera del sitio, exactamente como antes:
ping 8.8.8.8
En la consola de Access Gate, el flujo aparece ahora bajo su enclave. Access Gate arranca en modo de prueba en seco (dry run), por lo que muestra qué bloquearía sin bloquear nada hasta que apruebes las reglas.
Si no aparece nada, comprueba que el MX tiene una entrada ARP para 100.65.0.6 (la puerta responde en su VLAN) y realiza una captura de paquetes en la VLAN de la puerta desde el Dashboard.
Otras opciones
Cubrir el tráfico entre tus VLANs locales: accede a las máquinas por nombre
La ruta basada en origen no captura el tráfico entre VLANs en el mismo MX. Para llevar ese tráfico a través de la puerta, haz que personas y sistemas se conecten a la dirección twin o al nombre de la máquina en lugar de a su dirección real. La ruta del paso 2 lleva entonces cada conexión de ese tipo a la puerta, independientemente de quién la haya originado.
La forma más sencilla es usar nombres. Access Gate responde DNS en 100.65.0.6 y asigna a cada máquina un nombre que apunta a su dirección twin. En Addressing & VLANs, edita la configuración DHCP de la VLAN en la que están tus usuarios y sistemas, y establece Custom nameservers en 100.65.0.6. Los dispositivos en esa VLAN resolverán entonces plc-line-1.secure.acme.corp como 100.64.1.10.
Para mantener tu propio DNS, consulta la siguiente opción.
Para una regla que también cubra el tráfico entre VLANs locales, enruta la subred de máquinas en un dispositivo upstream que soporte enrutamiento por política, un switch Catalyst o un FortiGate, y aplica la regla allí.
Mantener tu propio DNS y reenviar un subdominio
El MX no reenvía una zona DNS individual a otro servidor. Mantén tu DNS existente y añade un reenviador condicional para secure.acme.corp → 100.65.0.6 en tu servidor DNS de sitio (Windows DNS, BIND o Infoblox). Consulta Asigna nombres sencillos a tus máquinas.
Proteger solo una máquina
La ruta del paso 2 ya cubre todas las direcciones twin. Para cubrir una sola máquina, añade una ruta estática en Security & SD-WAN → Configure → Routing únicamente para su dirección twin:
- Subnet:
100.64.1.10/32 - Next hop IP:
100.65.0.6 - Active: Always active
Personas y sistemas acceden entonces a esa máquina por 100.64.1.10 o por su nombre. Si puedes cambiar cómo se direcciona una máquina, consulta Protege una máquina a la que accedes por su dirección. Para entender cómo funciona este patrón en general, consulta Redirige el tráfico con el NAT de tu router.
Hacer de la puerta el gateway de la subred de máquinas
La opción más completa y la más invasiva. Elimina la VLAN de máquinas de la tabla de direccionamiento del MX y termina esa subred en Access Gate. La puerta se convierte en el gateway de esas máquinas y gestiona DHCP para ellas. En el MX, añade una ruta estática para la subred de máquinas apuntando a la dirección de tránsito de la puerta. Si tu stack MS gestiona la interfaz de VLAN, elimínala allí en su lugar y enruta la subred hacia la puerta a través de una VLAN de tránsito.
Esto cubre todo lo que sale de la subred, incluido el tráfico hacia otras VLANs, sin necesidad de direcciones twin. Requiere una ventana de mantenimiento y convierte Access Gate en una dependencia crítica para esa subred, así que resérvalo para grupos pequeños y claramente delimitados de máquinas.
Qué tráfico cubre esto
Access Gate gestiona cualquier paquete que le llegue, en ambas direcciones. La cobertura depende únicamente de conseguir que el tráfico llegue a la puerta:
- IT hacia las máquinas, y máquinas en otras VLANs: cubierto cuando se conectan por dirección twin o por nombre.
- Máquinas hacia internet, la WAN y otros sitios: cubierto por la ruta basada en origen del paso 3.
- Máquinas hacia IT en el mismo MX: cubierto cuando la máquina accede al servicio IT por su dirección twin. La ruta basada en origen no lo cubre.
- Máquinas en la misma VLAN, sin router intermedio: el enrutamiento nunca ve este tráfico. Consulta Redirige el tráfico en tus switches.
Qué permanece en el MX
El MX contiene una ruta estática y una ruta basada en origen, configuradas una sola vez. Quién puede acceder a qué máquina, el inicio de sesión, la grabación de sesiones, el cifrado y los registros residen en Access Gate. Cuando el equipo de red pregunte qué cambia en el appliance de seguridad, la respuesta es: dos rutas, una vez.