Protégez l'IT et l'OT avec deux couches de passerelle.
Cette conception existe en deux variantes. Protégez les sous-réseaux IT et OT séparément, ou concentrez le contrôle sur l'OT seul. Chaque chemin de trafic a son propre schéma.
Comment fonctionne cette conception.
Cette conception prolonge la conception à une passerelle avec deux modes de couverture. En mode IT et OT, l'Access Gate protège les deux domaines. En mode OT seul, il se concentre sur les machines de l'atelier. En ligne, il porte vos VLAN et vos trunks, ce qui est le choix par défaut le plus complet. Une boucle sécurisée reste possible comme option à faible impact. La même appliance héberge aussi l'accès distant, les passerelles de protocole, le DNS et l'heure, le partage de fichiers, un historian, des tableaux de bord et un serveur de mises à jour.
Couverture IT et OT.
Un seul Access Gate applique la politique sur tous les sous-réseaux. L'IT et l'OT sont protégés en même temps.
Couverture OT seule.
L'Access Gate se concentre sur le trafic du bus OT. Le trafic IT continue de passer par le pare-feu existant, sans changement.
Votre réseau actuel reste en place.
Vous voulez changer le moins possible ? Le routeur, le pare-feu et les switchs restent tels quels, et l'Access Gate passe par une boucle sécurisée. En ligne, il porte directement les VLAN et les trunks.
Vous choisissez ce qui passe.
Le trafic non critique peut contourner l'Access Gate. Seuls les flux sensibles doivent passer par lui.
Deux façons de fixer le périmètre.
Deux topologies de base couvrent deux périmètres. Choisissez la couverture IT et OT pour contrôler tout le périmètre. Choisissez l'OT seul quand vos outils existants gèrent déjà l'IT.
Connexion à une passerelle existante.
Pour une couverture plus complète, l'Access Gate est placé en ligne et porte les VLAN et trunks locaux en tant que passerelle. Il peut aussi se brancher à côté de l'Edge Gateway ou de la passerelle OT, sans toucher aux équipements existants.
Des routes sur la passerelle.
Dans l'option à faible impact, des routes ajoutées sur l'Edge Gateway ou la passerelle OT envoient le trafic des machines sensibles vers l'Access Gate. Aucun changement de VLAN.
Mode IT et OT.
Les sous-réseaux IT et OT sont tous couverts. Tout le trafic inter-domaines et VPN passe par l'Access Gate.
Mode OT seul.
Seul le trafic OT passe par l'Access Gate. Le trafic IT n'est pas touché.
Les sessions distantes passent un contrôle.
Les flux nord-sud sont les sessions VPN entrantes. L'Access Gate intercepte les sessions VPN vers l'IT et vers l'OT. Il vérifie l'identité et analyse le protocole avant d'ouvrir la seconde partie de la connexion.
VPN vers les machines IT.
Le trafic VPN IT passe par l'Access Gate avec double NAT. Chaque session est journalisée et analysée avant d'atteindre sa destination.
VPN vers les machines OT.
L'accès VPN à l'OT passe par l'Access Gate. Le MFA peut être exigé. Chaque session n'atteint que des ressources OT précises.
Un bastion avec double NAT.
L'Access Gate joue le rôle de bastion, avec un double NAT aux deux extrémités de la connexion. Le chiffrement et l'enregistrement des sessions sont possibles.
Un accès limité au nécessaire.
Dans le LAN, l'accès est accordé à des machines ou groupes, des protocoles et des actions précis.
Contrôlez le trafic entre les machines.
Trois schémas couvrent le trafic latéral : de l'IT vers l'OT, d'OT à OT entre sous-réseaux, et d'OT à OT dans un même VLAN. L'Access Gate contrôle chacun différemment.
De l'IT vers l'OT (est-ouest).
Le trafic de l'IT vers l'OT passe par l'Access Gate. L'Access Gate sert de proxy entre les deux machines.
D'OT à OT entre sous-réseaux.
Le trafic OT latéral entre sous-réseaux passe par l'Access Gate. Chaque session est authentifiée et journalisée.
D'OT à OT dans un même VLAN.
Le trafic au sein d'un VLAN est contrôlé grâce aux adresses de surcouche. L'Access Gate peut placer un proxy même dans un seul VLAN.
Le trafic non critique peut contourner.
Le trafic non sensible peut éviter l'Access Gate. Seuls les flux critiques et CUI doivent passer par lui.
Téléchargez l'architecture à deux couches.
Recevez les sept schémas en un seul pack : topologies de base, flux VPN et flux est-ouest.
Une passerelle.
Vous voulez démarrer plus simplement ? Un seul Access Gate couvre l'IT et l'OT et se branche sur votre réseau existant. Votre périmètre ne change pas.
Multi-sites.
Plusieurs usines ? La conception multi-sites montre comment les enclaves s'étendent d'une usine à l'autre par des tunnels sécurisés.
Multiple Gateway Architecture.
Multiple Gateway Architecture: Video Walkthrough
See how two Access Gates create layered defense-in-depth with separate enforcement zones for IT and OT networks.
Request a DemoQuestions sur la conception à deux couches.
façons de déployer : l'IT et l'OT ensemble, ou l'OT seul quand l'IT est déjà couverte.
En mode IT et OT, l'Access Gate applique la politique sur tous les sous-réseaux. En mode OT seul, seul le trafic du bus OT passe par lui, et le trafic IT continue d'utiliser le pare-feu existant. On choisit souvent l'OT seul quand l'IT dispose déjà de contrôles solides.
Oui. Les routes sur le bus central et le bus OT décident quels flux passent par l'Access Gate. Le trafic non critique peut rester sur son chemin actuel. Seul le trafic sensible ou CUI doit passer par la surcouche.
L'Access Gate utilise des adresses de surcouche pour les machines qui partagent un même VLAN physique. Le trafic routé par la surcouche sort du domaine de diffusion. L'Access Gate peut alors appliquer une politique à chaque session.
Non. Un seul Access Gate gère l'IT et l'OT. Les deux couches sont deux zones de contrôle, IT et OT, sur la même appliance. Cette appliance héberge aussi les services sécurisés de l'usine.