Configuración de Rutas de Superposición

Configuración de rutas de superposición

Access Gate utiliza enrutamiento para dirigir el tráfico de superposición a través del appliance sin modificar la red existente (underlay). Esto requiere un número reducido de rutas explícitas en el router y una configuración de gateway en Access Gate.

Configurar rutas en el router

Agregue rutas para que el tráfico de superposición se envíe a Access Gate:

# Route overlay network through Access Gate
ip route add 100.64.0.0/16 via <access-gate-ip> # Overlay network
ip route add 100.65.0.6/29 via <access-gate-ip> # Access Gate interface

Estas rutas garantizan que todo el tráfico destinado a IPs de superposición se reenvíe a Access Gate.

Configurar la interfaz de superposición de Access Gate

En la interfaz de Access Gate, en el puerto de superposición:

• Dirección IP: 100.65.0.6/29
• Gateway: 100.65.0.1

Esto permite que Access Gate reenvíe el tráfico proxy de vuelta a la red underlay a través del router existente.

Flujo de tráfico resultante

Con estas rutas activas, cada sesión protegida tiene dos tramos: uno en la superposición y otro en el underlay. Access Gate traduce entre ambos. Un tramo permanece siempre en la red existente, lo que permite a Access Gate proteger los activos sin reasignarles direcciones IP.

Suponga que un cliente en el underlay 192.168.10.50 desea alcanzar un HMI protegido cuya IP de underlay es 192.168.30.20. Access Gate expone ese HMI en la superposición como 100.64.1.20.

1. Entrada desde el cliente. El cliente envía un paquete con source 192.168.10.50 y destination 100.64.1.20. El router coincide con la ruta 100.64.0.0/16 y reenvía el paquete a Access Gate.
2. Política + NAT en Access Gate. Access Gate autentica la sesión, aplica la política y abre una nueva conexión al HMI en el underlay. El paquete reenviado tiene source 100.65.0.6 (la IP de underlay propia de Access Gate, mediante NAT) y destination 192.168.30.20. El HMI nunca ve la dirección de superposición.
3. Salida desde el HMI. El HMI responde a 100.65.0.6. Access Gate asocia la respuesta con la sesión de superposición original y la devuelve al cliente con source 100.64.1.20 y destination 192.168.10.50.

Dado que el tramo del lado del activo permanece siempre en el underlay, no se requieren cambios de VLAN ni reasignaciones de IP. Access Gate es el único dispositivo de la red que necesita conocer la existencia de la superposición.