Déployer Access Gate avec Cisco Catalyst

Connectez Access Gate à un switch Cisco Catalyst en quatre étapes : deux ports sur un VLAN dédié, une route, une règle qui fait passer le trafic de vos machines par la gate, et une vérification. Rien ne change sur les machines.

Sur un Cisco Catalyst, vous connectez Access Gate avec deux ports de commutateur et ajoutez deux lignes de routage : une route pour les adresses jumelles, et une règle qui fait transiter tout un sous-réseau de machines par la passerelle. Rien ne change sur les machines, et la suppression de la règle annule tout.

Ce que vous allez construire

Access Gate câblé à un commutateur existant par deux ports : un port d'administration sur le VLAN d'administration et un port de protection sur un sous-réseau /29 dédié

Les exemples utilisent les adresses suivantes. Remplacez-les par les vôtres.

Élément	Exemple
VLAN d'administration	VLAN 254, `192.168.254.0/24`
VLAN dédié à la passerelle	VLAN 65, `100.65.0.0/29` : commutateur `100.65.0.1`, passerelle `100.65.0.6`
Adresses jumelles	`100.64.0.0/16`
Votre sous-réseau de machines	`192.168.1.0/24`, sur `interface Vlan1`

1. Connecter deux ports

Créez le VLAN dédié, puis placez un port dans chaque VLAN.

vlan 65
 name AG-PROTECT
interface Vlan65
 ip address 100.65.0.1 255.255.255.248
!
interface GigabitEthernet1/0/5
 description Access-Gate-ADMIN
 switchport mode access
 switchport access vlan 254
!
interface GigabitEthernet1/0/1
 description Access-Gate-PROTECT
 switchport mode access
 switchport access vlan 65

Câblez Gi1/0/5 sur le port d'administration (5) d'Access Gate et Gi1/0/1 sur son port de protection (1). Le port d'administration obtient une adresse de votre VLAN d'administration via DHCP, ou utilise 10.0.0.1 après environ une minute en l'absence de serveur DHCP.

2. Ajouter la route pour les adresses jumelles

Access Gate attribue à chaque machine une adresse jumelle dans 100.64.0.0/16. Indiquez au commutateur où se trouve cette plage :

ip route 100.64.0.0 255.255.0.0 100.65.0.6

Aucun trafic n'utilise encore ces adresses, donc cette configuration ne change rien en elle-même. Elle permet aux réponses de revenir par la passerelle après l'étape 3.

3. Basculer avec une seule règle

Avant et après une règle sur votre routeur : le routeur envoie d'abord le trafic de la machine à Access Gate, et supprimer la règle rétablit l'ancien chemin

Cette règle envoie tout le trafic provenant de votre sous-réseau de machines vers la passerelle en premier, quelle que soit sa destination :

ip access-list extended MACHINES
 permit ip 192.168.1.0 0.0.0.255 any
!
route-map TO-ACCESS-GATE permit 10
 match ip address MACHINES
 set ip next-hop 100.65.0.6
!
interface Vlan1
 ip policy route-map TO-ACCESS-GATE

La ligne ip policy sur le VLAN des machines constitue le basculement. Vos machines conservent leur adresse, leur passerelle et leurs paramètres.

Pour annuler : interface Vlan1, puis no ip policy route-map TO-ACCESS-GATE.

4. Vérifier le fonctionnement

Depuis une machine, accédez à une ressource avec laquelle elle communique habituellement, exactement comme avant :

ping 192.168.2.20

Dans la console Access Gate, le flux apparaît désormais sous son enclave. Access Gate démarre en mode simulation (dry run) : il affiche ce qu'il bloquerait sans rien bloquer tant que vous n'avez pas approuvé les règles.

Chez un grand fabricant en Caroline du Nord, une ligne de production en cours d'exécution a été placée derrière Access Gate de cette façon en moins d'une minute, sur le commutateur Cisco existant. La production n'a pas été interrompue.

Autres options

Protéger une seule machine plutôt qu'un sous-réseau entier

Faites transiter uniquement le trafic à destination de l'adresse jumelle d'une machine par la passerelle, via une route hôte :

ip route 100.64.1.10 255.255.255.255 100.65.0.6

Les utilisateurs et les systèmes accèdent alors à cette machine par son adresse jumelle (100.64.1.10) ou par son nom. Voir Protéger une machine accessible par son adresse.

Accéder aux machines par leur nom

Access Gate répond aux requêtes DNS sur 100.65.0.6 et attribue à chaque machine un nom pointant vers son adresse jumelle. Transmettez ce résolveur à un VLAN via DHCP :

ip dhcp pool OT
 network 192.168.1.0 255.255.255.0
 default-router 192.168.1.1
 dns-server 100.65.0.6

ou conservez votre DNS et déléguez un sous-domaine à la passerelle. Voir Donner des noms simples à vos machines.

Trafic couvert par la règle

La règle de l'étape 3 couvre tout le trafic qui quitte le sous-réseau de machines : des machines vers l'IT, et des machines vers d'autres VLANs. Le trafic entrant dans le sous-réseau depuis l'IT est couvert lorsqu'il est envoyé vers une adresse jumelle ou un nom (la route de l'étape 2 s'en charge déjà).

Les machines qui communiquent entre elles sur le même VLAN, sans routeur intermédiaire, ne passent jamais par le routage du commutateur. Pour ces cas, voir Rediriger le trafic sur vos commutateurs.

Utiliser un port routé plutôt qu'un VLAN

Remplacez l'interface Vlan65 par un port routé : interface Gi1/0/1, no switchport, ip address 100.65.0.1 255.255.255.248. La passerelle reste à 100.65.0.6.

Ce qui reste sur le commutateur

Le commutateur conserve une route et une règle, configurées une seule fois. Les droits d'accès par machine, l'authentification, l'enregistrement des sessions, le chiffrement et les journaux résident tous sur Access Gate. Quand l'équipe réseau demande ce qui change sur le commutateur central, la réponse est : une route-map, une fois.