En una pasarela Ubiquiti UniFi, se conecta Access Gate con dos puertos de switch y se añaden dos configuraciones en la aplicación UniFi Network: una ruta para las direcciones twin y una regla que envía toda la subred de máquinas a través de la pasarela. Las máquinas no cambian, y eliminar la regla deshace el cambio.
Qué va a construir
Los ejemplos utilizan estas direcciones. Sustitúyalas por las suyas.
| Elemento | Ejemplo |
|---|---|
| Red de administración | Admin, VLAN 254, 192.168.254.0/24, puerta de enlace 192.168.254.1 |
| Red dedicada para la pasarela | AG-Protect, VLAN 65, 100.65.0.0/29: puerta de enlace 100.65.0.1, pasarela 100.65.0.6 |
| Direcciones twin | 100.64.0.0/16 |
| Subred de sus máquinas | 192.168.1.0/24, PLC 192.168.1.10 (dirección twin 100.64.1.10) |
1. Conectar dos puertos
- En Settings → Networks, cree dos redes:
Admin: VLAN 254,192.168.254.0/24, puerta de enlace192.168.254.1.AG-Protect: VLAN 65,100.65.0.0/29, puerta de enlace100.65.0.1.
- En Ports → [port] → Port Manager, configure un puerto con Native VLAN = Admin y otro con Native VLAN = AG-Protect.
- Conecte el puerto
Adminal puerto de administración (5) de Access Gate y el puertoAG-Protecta su puerto de protección (1).
El puerto de administración obtiene una dirección de su red de administración por DHCP, o usa 10.0.0.1 tras aproximadamente un minuto si no hay ninguna disponible. Puede asignarle una dirección fija, como 192.168.254.50, desde la consola.
2. Añadir la ruta para las direcciones twin
Access Gate asigna a cada máquina una dirección twin en 100.64.0.0/16. En Settings → Routing → Static Routes, añada:
- Destination:
100.64.0.0/16 - Next hop:
100.65.0.6
Ningún tráfico usa estas direcciones todavía, por lo que esto no cambia nada por sí solo. Es lo que permite que las respuestas vuelvan a través de la pasarela tras el paso 3.
3. Cambiar con una sola regla
Esta regla envía todo el tráfico procedente de la subred de sus máquinas a la pasarela primero, independientemente del destino. En Settings → Routing → Policy-Based Routes, añada:
- Source: su red de máquinas (
192.168.1.0/24) - Destination: any
- Next hop / interface:
AG-Protect(100.65.0.6)
Guardar la regla es el cambio. Sus máquinas conservan su dirección, puerta de enlace y configuración.
Para deshacer: elimine la ruta basada en políticas (policy-based route).
4. Verificar que funciona
Desde una máquina, acceda a algo con lo que habitualmente se comunica, exactamente igual que antes:
ping 192.168.2.20
En la consola de Access Gate, el flujo aparece ahora bajo su enclave. Access Gate arranca en modo de prueba (dry run), por lo que muestra lo que bloquearía sin bloquear nada hasta que usted apruebe las reglas.
También puede probar en la dirección contraria: desde un equipo IT, acceda a la máquina por su dirección twin (ping 100.64.1.10). La ruta del paso 2 lo lleva a la pasarela, que lo reenvía a la máquina real.
Otras opciones
Controlador antiguo sin Policy-Based Routes
El enrutamiento basado en políticas (policy-based routing) solo está disponible en pasarelas UniFi OS más recientes. En un controlador más antiguo, use la ruta del paso 2, que siempre funciona: personas y sistemas acceden a cada máquina por su dirección twin o su nombre, y ese tráfico pasa por la pasarela, independientemente de quién lo envíe. Para cubrir solo una máquina, añada una ruta estática para su dirección twin en Settings → Routing → Static Routes:
- Destination:
100.64.1.10/32 - Next hop:
100.65.0.6
También puede aplicar la regla única en un dispositivo upstream que la soporte, como un switch Catalyst. Para entender cómo funciona el patrón de dirección twin en general, consulte Redirigir tráfico con el NAT de su router.
Acceder a las máquinas por nombre
Access Gate responde DNS en 100.65.0.6 y asigna a cada máquina un nombre que apunta a su dirección twin. Puede entregar ese resolver a una red: edítela en Settings → Networks y, en DHCP → DNS Server, establezca el valor manual 100.65.0.6.
O mantenga su DNS y reenvíe un subdominio a la pasarela. La pasarela UniFi no reenvía de forma fiable una sola zona, por lo que añada un reenviador condicional (conditional forwarder) para secure.acme.corp → 100.65.0.6 en su servidor DNS de sitio (Windows DNS, BIND o Infoblox). Consulte Asignar nombres sencillos a sus máquinas.
Qué tráfico cubre la regla
La regla del paso 3 cubre todo lo que sale de la subred de máquinas: de máquinas a IT y de máquinas a otras redes. El tráfico que entra en la subred desde IT queda cubierto cuando se envía a una dirección twin o a un nombre (la ruta del paso 2 ya lo gestiona).
Las máquinas que se comunican entre sí en la misma red, sin router de por medio, nunca pasan por el enrutamiento de la pasarela. Para esos casos, consulte Redirigir tráfico en sus switches.
Qué permanece en la pasarela
La pasarela UniFi contiene una ruta y una regla, configuradas una sola vez. Quién puede acceder a qué máquina, el inicio de sesión, la grabación de sesiones, el cifrado y los registros residen en Access Gate. Cuando el equipo de red pregunta qué cambia en la pasarela, la respuesta es: una regla, una vez.