Access Gate utilise le protocole NTP pour synchroniser son horloge logicielle. Une horloge correcte est indispensable pour les horodatages des journaux, mais aussi pour l'authentification des certificats et des tunnels.
En règle générale, il n'est pas nécessaire de configurer NTP, car Access Gate se configure automatiquement (1) à partir des informations reçues via un bail DHCP sur son port Overlay, ou (2) en utilisant le serveur par défaut time.google.com si aucun n'est défini.
Vérifier les règles de pare-feu existantes pour l'accès WAN d'Access Gate
Les requêtes NTP sortent par le chemin qu'Access Gate utilise pour atteindre la source de temps en amont (et non via les interfaces de supervision, d'administration ou autres). Dans un déploiement overlay, il s'agit de l'interface overlay ; lorsqu'Access Gate est déployé in-line, transportant des VLANs ou trunks et déjà en chemin, les requêtes suivent nativement le chemin in-line. Dans tous les cas, assurez-vous que vos règles de pare-feu existantes autorisent la connectivité WAN sortante pour cette sortie.
Pour rechercher d'éventuelles erreurs de configuration dans les journaux, utilisez la requête eq "timemngr@60446" [component] et eq "E" [level] :
Exemple de configuration NTP dans un routeur :
/ip/dhcp-server-network
add address=100.65.0.0/29 gateway=100.65.0.1 ntp-server=100.65.0.2
Access Gate comme source de temps pour l'OT
Garder l'horloge de la passerelle exacte n'est que la moitié de l'histoire. Parce qu'Access Gate est une VNF, une appliance virtuelle fonctionnant sur du matériel x86 que vous possédez, la sécurité est découplée des boîtiers propriétaires et le même hôte peut exécuter les services sécurisés qui intègrent l'OT. L'heure exacte est l'un de ces services : une fois la passerelle synchronisée, elle peut servir le NTP aux assets situés en aval, de sorte que les PLCs, HMIs et historiens s'accordent tous sur l'horloge sans que chacun ait à joindre internet.
Pointez les assets en aval vers l'Access Gate comme serveur NTP. Dans un déploiement overlay, ils atteignent le service de temps via l'overlay ; dans un déploiement in-line, où la passerelle transporte déjà les VLANs ou trunks, le service est joignable nativement sur le réseau en chemin sans routage overlay requis. Servir l'heure localement maintient des horodatages cohérents pour les journaux, les certificats et l'authentification des tunnels sur l'ensemble du parc, et supprime une dépendance sortante de chaque équipement qui aurait autrement besoin de son propre chemin vers une source de temps publique.
Récapitulatif
Nous avons vérifié qu'Access Gate peut joindre un serveur NTP via son chemin en amont, contrôlé les règles de pare-feu pour la connectivité WAN sortante et, en option, diffusé un serveur NTP via DHCP depuis le routeur. À utiliser lorsque les horodatages des journaux sont incorrects ou que l'authentification des certificats et des tunnels échoue à cause d'une dérive de l'horloge de l'appliance.