Sur un Cisco Meraki MX, vous connectez Access Gate avec deux ports, ajoutez une route statique pour les adresses jumelles et une route basée sur la source qui envoie le trafic du VLAN de vos machines vers la passerelle. Rien ne change sur les machines, et la suppression de la route basée sur la source annule la configuration.
Ce que vous allez construire
Les exemples utilisent les adresses suivantes. Remplacez-les par les vôtres.
| Élément | Exemple |
|---|---|
| VLAN d'administration | VLAN 254, 192.168.254.0/24, MX 192.168.254.1 |
| VLAN dédié à la passerelle | VLAN 65, 100.65.0.0/29 : MX 100.65.0.1, passerelle 100.65.0.6 |
| Adresses jumelles | 100.64.0.0/16 |
| Sous-réseau des machines | 192.168.1.0/24, PLC 192.168.1.10 (adresse jumelle 100.64.1.10) |
| Noms des machines | secure.acme.corp, répondu par la passerelle à 100.65.0.6 |
1. Connecter deux ports
- Dans Security & SD-WAN → Configure → Addressing & VLANs, créez deux VLANs :
- VLAN 254 :
192.168.254.0/24, IP MX192.168.254.1(administration). - VLAN 65 :
100.65.0.0/29, IP MX100.65.0.1(VLAN propre à la passerelle).
- VLAN 254 :
- Dans Switch → Ports sur le MS, configurez un port d'accès en VLAN 254 et un autre en VLAN 65.
- Câblez le port VLAN 254 vers le port d'administration (5) d'Access Gate et le port VLAN 65 vers son port de protection (1).
Le port d'administration obtient une adresse depuis votre VLAN d'administration via DHCP, ou utilise 10.0.0.1 après environ une minute si aucun serveur DHCP n'est disponible. Vous pouvez lui attribuer une adresse fixe, par exemple 192.168.254.50, depuis la console.
2. Ajouter la route pour les adresses jumelles
Access Gate attribue à chaque machine une adresse jumelle dans 100.64.0.0/16. Dans Security & SD-WAN → Configure → Routing (Static routes), ajoutez une route statique :
- Subnet :
100.64.0.0/16 - Next hop IP :
100.65.0.6 - Active : Always active
Tout paquet envoyé vers une adresse jumelle est désormais acheminé vers la passerelle, qui le transmet à la machine réelle. Aucun trafic n'utilise encore ces adresses, donc cette configuration ne change rien en elle-même.
3. Basculer avec une seule règle
Dans Security & SD-WAN → Configure → Addressing & VLANs, cliquez sur Add source-based route :
- Source : votre VLAN de machines (
192.168.1.0/24) - Next hop type : LAN
- Next hop IP :
100.65.0.6
Vos machines conservent leur adresse, leur passerelle et leurs paramètres. Pour annuler : supprimez la route basée sur la source.
4. Vérifier le fonctionnement
Depuis une machine sur ce VLAN (pas depuis le Meraki Dashboard, dont les pings propres ignorent la règle), atteignez quelque chose en dehors du site, exactement comme avant :
ping 8.8.8.8
Dans la console Access Gate, le flux apparaît désormais sous son enclave. Access Gate démarre en mode simulation (dry run) : il affiche ce qu'il bloquerait sans rien bloquer, jusqu'à ce que vous approuviez les règles.
Si rien n'apparaît, vérifiez que le MX dispose d'une entrée ARP pour 100.65.0.6 (la passerelle répond sur son VLAN), et effectuez une capture de paquets sur le VLAN de la passerelle depuis le Dashboard.
Autres options
Couvrir le trafic entre vos VLANs locaux : atteindre les machines par nom
La route basée sur la source ne capture pas le trafic entre VLANs sur le même MX. Pour faire transiter ce trafic par la passerelle, faites en sorte que les personnes et les systèmes se connectent à l'adresse jumelle ou au nom de la machine plutôt qu'à son adresse réelle. La route de l'étape 2 achemine alors chaque connexion de ce type vers la passerelle, quel qu'en soit l'émetteur.
La solution la plus simple est d'utiliser les noms. Access Gate répond aux requêtes DNS sur 100.65.0.6 et attribue à chaque machine un nom pointant vers son adresse jumelle. Dans Addressing & VLANs, modifiez les paramètres DHCP du VLAN de vos utilisateurs et systèmes, et définissez Custom nameservers sur 100.65.0.6. Les appareils sur ce VLAN résolvent alors plc-line-1.secure.acme.corp en 100.64.1.10.
Pour conserver votre propre DNS, consultez l'option suivante.
Pour une règle qui couvre également le trafic entre VLANs locaux, routez le sous-réseau des machines sur un équipement en amont prenant en charge le routage par politique, un switch Catalyst ou un FortiGate, et appliquez la règle à cet endroit.
Conserver votre propre DNS et transférer un seul sous-domaine
Le MX ne transfère pas une zone DNS unique vers un autre serveur. Conservez votre DNS existant et ajoutez un redirecteur conditionnel pour secure.acme.corp → 100.65.0.6 sur votre serveur DNS de site (Windows DNS, BIND ou Infoblox). Voir Donner des noms simples à vos machines.
Protéger une seule machine
La route de l'étape 2 couvre déjà toutes les adresses jumelles. Pour ne couvrir qu'une seule machine, ajoutez une route statique dans Security & SD-WAN → Configure → Routing pour son adresse jumelle uniquement :
- Subnet :
100.64.1.10/32 - Next hop IP :
100.65.0.6 - Active : Always active
Les personnes et les systèmes atteignent alors cette machine via 100.64.1.10 ou son nom. Si vous pouvez modifier la façon dont une machine est adressée, consultez Protéger une machine que vous atteignez par son adresse. Pour comprendre le fonctionnement général de ce schéma, voir Rediriger le trafic avec le NAT de votre routeur.
Faire de la passerelle la passerelle par défaut du sous-réseau des machines
L'option la plus complète, et la plus invasive. Supprimez le VLAN des machines de la table d'adressage du MX et terminez ce sous-réseau directement sur Access Gate. La passerelle devient alors la passerelle par défaut de ces machines et gère leur DHCP. Sur le MX, ajoutez une route statique pour le sous-réseau des machines pointant vers l'adresse de transit de la passerelle. Si votre stack MS héberge l'interface VLAN, supprimez-la à cet endroit et routez le sous-réseau vers la passerelle via un VLAN de transit.
Cette configuration couvre tout le trafic sortant du sous-réseau, y compris le trafic vers d'autres VLANs, sans adresses jumelles. Elle nécessite une fenêtre de maintenance et fait d'Access Gate une dépendance forte pour ce sous-réseau : réservez-la à des groupes de machines restreints et clairement délimités.
Quel trafic est couvert
Access Gate traite tout paquet qui lui parvient, dans les deux sens. La couverture dépend uniquement de l'acheminement du trafic vers la passerelle :
- IT vers les machines, et machines sur d'autres VLANs : couvert lorsqu'elles se connectent par adresse jumelle ou par nom.
- Machines vers internet, le WAN et les autres sites : couvert par la route basée sur la source de l'étape 3.
- Machines vers l'IT sur le même MX : couvert lorsque la machine atteint le service IT par son adresse jumelle. La route basée sur la source ne le couvre pas.
- Machines sur le même VLAN, sans routeur intermédiaire : le routage ne voit jamais ce trafic. Voir Rediriger le trafic sur vos switches.
Ce qui reste sur le MX
Le MX héberge une route statique et une route basée sur la source, configurées une seule fois. Les droits d'accès aux machines, l'authentification, l'enregistrement des sessions, le chiffrement et les journaux résident tous sur Access Gate. Quand l'équipe réseau demande ce qui change sur l'appliance de sécurité, la réponse est : deux routes, une fois.