Instala Access Gate frente a tus máquinas en cuatro pasos. Mapea tu red a partir de una captura breve. Convierte ese mapa en un inventario y enclaves. Conecta el dispositivo junto a tu router. Luego redirige el tráfico con una sola regla. Las máquinas no se tocan, y basta con quitar esa regla para dejarlo todo como estaba.
| Paso | Qué haces | Tiempo |
|---|---|---|
| 1. Mapea tu red | Haz una captura y ábrela en el analizador de red | 15 minutos |
| 2. Crea tu inventario y enclaves | Nombra tus máquinas, decide quién puede acceder a ellas | 30 minutos |
| 3. Conecta Access Gate | Dos cables, una VLAN dedicada, inicia sesión | 20 minutos |
| 4. Redirige con una regla | Añade una regla en tu router | Menos de un minuto |
1. Mapea tu red a partir de una captura
Una captura (un archivo .pcap) es una grabación del tráfico en tu red. Access Gate construye todo lo demás a partir de ella, así que no hace falta escanear tus máquinas.
- Captura unos minutos de producción normal, hasta 500 MB. Conecta un portátil a un puerto espejo (SPAN) del switch al que están conectadas tus máquinas y captura con Wireshark o
tcpdump. Usa el switch de las máquinas y no el uplink del core: hay menos ruido y el mapa sale más limpio. La guía de captura incluye los comandos exactos. - Abre la captura en el analizador de red. Se ejecuta en tu navegador y el archivo nunca se sube a ningún servidor. Verás cada máquina, quién habla con quién, dónde IT accede a OT y las zonas propuestas.
- Exporta el mapa: Export, luego Everything. Contiene la lista de tus máquinas y las zonas propuestas, no tu tráfico en bruto.
2. Crea tu inventario y enclaves
Dos elementos determinan qué protege Access Gate:
- El inventario es la lista de tus máquinas, cada una con un nombre reconocible: PLC de la línea 2, HMI de envasado.
- Un enclave es un grupo de máquinas junto con las personas y sistemas autorizados a acceder a ellas: célula de la línea 2, sistemas CUI.
Si te enviamos el equipo precargado, ambos vienen ya configurados. De lo contrario, conecta primero el cable de administración (paso 3) y créalos en la consola en unos pocos clics. Access Gate observa tus máquinas a partir de una copia del tráfico, un puerto espejo o NetFlow desde tu router: consulta Configurar el puerto de monitorización.
- Monitor muestra cada máquina que Access Gate detecta. Registra cada una en Assets con Create Asset: asígnale un nombre y su dirección IP.
- En Enclaves → Create Enclave, nombra el enclave y haz clic en Save.
- Abre el enclave, haz clic en Edit Principals y añade sus máquinas y los usuarios o grupos que necesitan acceso.
- En la tabla, haz clic en una casilla Blocked y actívala para cada acceso que quieras permitir. Todo lo demás permanece bloqueado.
Más detalles: Construye tu inventario de activos y Protege una máquina con un enclave.
3. Conecta Access Gate
Access Gate se coloca junto a tu router o switch, no en medio de tu red. Conectarlo no cambia nada para tus máquinas.
Necesitas dos cables y dos puertos libres en tu router o switch:
- Cable de administración: desde tu red de administración al puerto de administración de Access Gate (normalmente el puerto 5). Así accedes a la consola.
- Cable de protección: desde una pequeña VLAN o subred dedicada, por ejemplo
100.65.0.0/29, al puerto de protección de Access Gate (normalmente el puerto 1). Asigna100.65.0.1a tu router en esa interfaz y100.65.0.6al dispositivo. - Añade una ruta en tu router: envía
100.64.0.0/16a100.65.0.6. En este rango, Access Gate asigna a cada máquina una dirección gemela. Como todavía nada lo usa, la ruta no altera nada.
Luego abre la consola:
- Abre en el navegador
https://seguido de la dirección del puerto de administración. Ese puerto toma una dirección de tu red de administración por DHCP; si no hay servidor DHCP, pasa a10.0.0.1al cabo de un minuto aproximadamente. - Acepta la advertencia del certificado e inicia sesión con
admin/hello. - En Settings → Accounts, cambia la contraseña de administrador y crea tu propio usuario.
- Comprueba Assets y Enclaves: tu inventario y enclaves del paso 2 ya están ahí.
Los menús exactos para tu equipo: Cisco Catalyst, Cisco Meraki, Fortinet FortiGate, Ubiquiti UniFi, MikroTik.
4. Redirige con una regla
Ahora envía el tráfico de tus máquinas a través de Access Gate. Una regla en tu router lo hace para toda una subred o VLAN: todo el tráfico proveniente de esa subred pasa primero por el dispositivo.
! Cisco example: everything from the machine subnet 192.168.1.0/24 goes to the gate
ip access-list extended MACHINES
permit ip 192.168.1.0 0.0.0.255 any
route-map TO-ACCESS-GATE permit 10
match ip address MACHINES
set ip next-hop 100.65.0.6
interface Vlan1
ip policy route-map TO-ACCESS-GATE
Las máquinas conservan su dirección, su puerta de enlace y su configuración. No se instala nada en ellas.
Comprueba que funciona. Desde una máquina, conéctate a un equipo con el que se comunica habitualmente, igual que siempre. En la consola, el flujo aparece ahora bajo su enclave.
Deshazlo. Elimina la regla. El tráfico vuelve al instante a su camino de siempre.
En un gran fabricante de Carolina del Norte, una línea en plena producción pasó así detrás de Access Gate en menos de un minuto, con una sola regla en el switch Cisco que ya tenían. La producción no se detuvo.
Cuando el modo simulación muestre las reglas que esperas, apruébalas. Access Gate bloqueará entonces todo lo que no hayas permitido.
Qué tienes ahora
- Un inventario de todas las máquinas de la red, cada una con su nombre.
- Enclaves que definen quién accede a cada máquina.
- Todos los flujos de esa subred pasan por Access Gate y quedan registrados, sin ningún cambio en las máquinas.
Próximos pasos
- Tus primeras tres semanas: añade usuarios, acceso remoto para proveedores e informes de auditoría.
- Haz que los usuarios inicien sesión antes de acceder a una máquina.
- Otras formas de conectar tus máquinas, si no puedes añadir una regla en tu router.
Resolución de problemas
La consola no se abre
- Comprueba ambos cables y los indicadores de enlace.
- Usa https://, no http://.
- Busca la dirección del puerto de administración en la tabla de concesiones de tu servidor DHCP, o prueba con
10.0.0.1. - Asegúrate de que ningún firewall bloquea el puerto 443 entre tu equipo y la red de administración.
No aparecen máquinas en Monitor
- Comprueba que el puerto de monitorización recibe una copia del tráfico (un puerto espejo o NetFlow desde tu router).
- Comprueba que el espejo cubre ambas direcciones y una VLAN donde las máquinas estén activas.
- Revisa Settings → Logs en busca de errores.
Un flujo no aparece tras aplicar la regla
- Comprueba que la regla coincide con la subred correcta y apunta a
100.65.0.6. - Comprueba que la ruta
100.64.0.0/16del paso 3 está configurada: sin ella, las respuestas no vuelven. - Comprueba que el firewall de la máquina, si tiene uno, permite la dirección de Access Gate.