Cuando necesitas poner una red entera bajo el Secure Twin, en lugar de un solo flujo o un solo dispositivo, el enrutamiento basado en origen es la vía de menor esfuerzo. En lugar de emparejar destinos individuales, se le indica al router que todo lo que provenga de una subred de origen, por ejemplo una VLAN de OT, se enruta a través de Access Gate. Una única política en el router arrastra toda la red a través del gate; ni un solo dispositivo se reconfigura.
El objetivo
El motivo más habitual es la migración. Una red, normalmente de OT, debe quedar bajo la aplicación de Zero-Trust, pero los dispositivos que hay en ella no se pueden reconfigurar: sin nueva IP, sin nuevo gateway, sin agente. A menudo también quieres mover la protección con la granularidad de una VLAN o subred entera de golpe, y no dispositivo por dispositivo.
El enrutamiento basado en origen resuelve esto en el router. Mantienes cada dispositivo de OT exactamente como está, y cambias una sola cosa en la red: la política del router para el tráfico que sale de esa subred. A partir de ahí, Access Gate ve los flujos Este-Oeste y Norte-Sur de la red, aplica la política del enclave, la identidad y el cifrado, y representa cada dispositivo ante el resto de la red por su identidad de overlay. Migrar una VLAN bajo el Secure Twin se convierte en un único cambio de enrutamiento que puedes preparar por fases y revertir.
Cómo funciona
Dos piezas cooperan, y ninguna de ellas está en los dispositivos:
- El rango del overlay le da a la subred de origen un Secure Twin: un mapeo 1:1 (un "binat") de cada dirección del underlay a una dirección del overlay. En este laboratorio conserva el último octeto:
192.168.1.Xen el underlay de OT se mapea a100.64.1.Xen el overlay. - Una ruta basada en origen en el router empareja el tráfico por su origen (la subred de OT completa
192.168.1.0/24) y lo envía a Access Gate a través de la interconexión, independientemente del destino. Access Gate aplica la política del enclave y el cifrado, presenta el dispositivo al otro extremo por su identidad de overlay y hace NAT del camino de retorno de vuelta al dispositivo real.
Como la decisión se toma en el router por dirección de origen, toda la subred se redirige con una única regla, y los dispositivos conservan intactos su propia IP, gateway y enrutamiento.
Laboratorio de referencia
El ejemplo lleva una red de OT que alcanza un servicio de IT, el caso clásico para el que se diseñó el enrutamiento basado en origen.
| Elemento | Dirección | Rol |
|---|---|---|
| Dispositivo OT (PLC) | 192.168.1.10 underlay, 100.64.1.10 overlay | Dispositivo de origen en la subred de OT, sin cambios |
| Servidor IT | 192.168.2.20 | Destino con el que habla el dispositivo de OT |
| Router / gateway L3 | 192.168.1.1 (OT), interconexión con Access Gate | Enrutamiento basado en origen: subred de OT → Access Gate |
| Access Gate | interconexión 100.65.0.4/29, overlay de OT 100.64.1.0/24 | Política del enclave, identidad, cifrado, NAT |
El overlay conserva el último octeto: 192.168.1.X en la subred de OT se corresponde con 100.64.1.X en el overlay, de modo que el PLC (192.168.1.10) se representa como 100.64.1.10.
Paso a paso
1. Configurar la subred de origen en Access Gate
Crea una subred en Access Gate para la red de OT y dale un overlay, de modo que cada dispositivo obtenga una dirección Secure Twin. En este laboratorio el underlay de OT 192.168.1.0/24 se mapea al overlay 100.64.1.0/24. Para definir subredes, overlays y el puerto Secure Twin en la interfaz de usuario, consulta Desplegar Secure Twin con Twin IPs.
2. Enrutar la red de origen por origen a través de Access Gate
En el router, añade una ruta basada en origen (por política): todo lo que provenga de la subred de OT se envía a Access Gate a través de la interconexión, sea cual sea su destino.
# En el router: enrutar por política todo lo que provenga de la subred de OT a través de Access Gate
ip rule add from 192.168.1.0/24 table 100
ip route add default via 100.65.0.4 table 100 # interconexión con Access Gate
Solo se empareja la subred de origen, así que el tráfico de otras redes queda intacto. En un router de proveedor, esta es la misma idea expresada como una regla de route-map / enrutamiento basado en política (policy-based routing) referenciada al prefijo de origen.
3. Verificar el camino completo
Desde un dispositivo de OT, alcanza el servidor de IT exactamente como antes. El router ahora dirige el flujo a través de Access Gate a la salida.
ping -c3 192.168.2.20 # desde el dispositivo de OT (192.168.1.10)
En Access Gate, el flujo aparece bajo el enclave de OT con la identidad de overlay del dispositivo (100.64.1.10); la política, la identidad y el cifrado se aplican antes de que el paquete se reenvíe a 192.168.2.20, y la respuesta se hace NAT de vuelta al dispositivo real.
El camino completo
OT device (192.168.1.10) [reaches IT server 192.168.2.20 as usual]
-> Router / L3 gateway [source-based route: from 192.168.1.0/24 -> Access Gate interconnect]
-> Access Gate (enclave policy, identity, encryption) [presents OT device as overlay 100.64.1.10]
-> IT server (192.168.2.20) [sees the OT device by its overlay identity]
-> and back through Access Gate, NATed to the OT device (192.168.1.10)
Desde el punto de vista del dispositivo de OT, alcanzó el servidor de IT en su dirección de siempre. En realidad, el router dirigió el tráfico de toda la subred a través de Access Gate, que aplicó la política del enclave y el cifrado y representó el dispositivo por su identidad de overlay, sin ningún cambio en la dirección, el gateway o el enrutamiento de ningún dispositivo.
Una regla para migrar una red entera
El enrutamiento basado en origen es el método al que recurrir cuando la unidad de cambio es una red, no un dispositivo: una única política del router pone toda una subred o VLAN bajo el Secure Twin, y puede prepararse por fases y revertirse como cualquier cambio de enrutamiento. Combina de forma natural con migraciones a nivel de dispositivo o de VLAN donde los extremos deben permanecer exactamente como están.
Si necesitas control por flujo en lugar de una subred entera, usa NAT de gateway (L3); si puedes cambiar el activo, modificar las IP es más simple; y donde los dos dispositivos comparten un segmento sin ningún salto L3 entre ellos, el proxy ARP (L2) lo hace en la capa 2.