Sur un routeur MikroTik, vous connectez Access Gate avec deux ports et ajoutez deux éléments de routage : une route pour les adresses jumelles, et une règle qui fait passer tout un sous-réseau de machines par la passerelle. Rien ne change sur les machines, et supprimer la règle annule l'opération.
Ce que vous allez construire
Les exemples utilisent ces adresses et noms de ports. Remplacez-les par les vôtres.
| Élément | Exemple |
|---|---|
| Réseau d'administration | ether5, 192.168.254.0/24 |
| Sous-réseau dédié à la passerelle | ether2, 100.65.0.0/29 : routeur 100.65.0.1, passerelle 100.65.0.6 |
| Adresses jumelles | 100.64.0.0/16 |
| Votre sous-réseau de machines | 192.168.1.0/24 |
1. Connecter deux ports
Attribuez à un port une adresse sur votre réseau d'administration et à l'autre une adresse sur le sous-réseau dédié :
/ip address add address=192.168.254.1/24 interface=ether5 comment="AG admin"
/ip address add address=100.65.0.1/29 interface=ether2 comment="AG protection"
Câblez ether5 au port d'administration (5) d'Access Gate et ether2 à son port de protection (1). Le port d'administration obtient une adresse de votre réseau d'administration via DHCP, ou utilise 10.0.0.1 après environ une minute si aucun serveur DHCP n'est disponible. Vous pouvez également lui attribuer une adresse fixe, par exemple 192.168.254.50, depuis la console Access Gate.
2. Ajouter la route pour les adresses jumelles
Access Gate attribue à chaque machine une adresse jumelle dans 100.64.0.0/16. Indiquez au routeur où se trouve cette plage :
/ip route add dst-address=100.64.0.0/16 gateway=100.65.0.6 comment="Secure Twin overlay"
Aucun trafic n'utilise encore ces adresses, donc cette opération ne change rien en elle-même. Elle permet aux réponses de revenir par la passerelle après l'étape 3.
3. Basculer avec une seule règle
Commencez par créer une table de routage dont la seule route mène à la passerelle. Cela ne change rien en soi :
/routing table add name=via-ag fib
/ip route add dst-address=0.0.0.0/0 gateway=100.65.0.6 routing-table=via-ag
Ajoutez ensuite la règle. Elle marque tout le trafic provenant de votre sous-réseau de machines pour qu'il utilise cette table et passe d'abord par la passerelle, quelle que soit sa destination :
/ip firewall mangle add chain=prerouting src-address=192.168.1.0/24 \
action=mark-routing new-routing-mark=via-ag passthrough=yes comment="steer OT to AG"
Cette règle mangle est l'interrupteur. Vos machines conservent leur adresse, leur passerelle et leurs paramètres.
Pour annuler : /ip firewall mangle remove [find comment="steer OT to AG"].
4. Vérifier le bon fonctionnement
Depuis une machine, accédez à une ressource avec laquelle elle communique habituellement, exactement comme avant :
ping 192.168.2.20
Dans la console Access Gate, le flux apparaît désormais sous son enclave. Access Gate démarre en mode simulation (dry run) : il affiche ce qu'il bloquerait sans rien bloquer tant que vous n'avez pas approuvé les règles.
Vous pouvez également vérifier dans l'autre sens : depuis un ordinateur de votre réseau bureautique, accédez à une machine par son adresse jumelle (ping 100.64.1.10). La route de l'étape 2 achemine le trafic vers la passerelle, qui le transmet à la machine réelle.
Autres options
Protéger une seule machine plutôt qu'un sous-réseau entier
Faites passer uniquement le trafic à destination de l'adresse jumelle d'une machine par la passerelle, via une route hôte. Aucune règle mangle n'est nécessaire :
/ip route add dst-address=100.64.1.10/32 gateway=100.65.0.6 comment="PLC twin only"
Les utilisateurs et les systèmes accèdent alors à cette machine par son adresse jumelle (100.64.1.10) ou par son nom. Voir Rediriger le trafic avec le NAT de votre routeur.
Accéder aux machines par leur nom
Access Gate répond aux requêtes DNS sur 100.65.0.6 et attribue à chaque machine un nom pointant vers son adresse jumelle. Vous pouvez soit transmettre ce résolveur à votre sous-réseau de machines via DHCP :
/ip dhcp-server network set [find where address=192.168.1.0/24] dns-server=100.65.0.6
soit conserver votre DNS et déléguer un sous-domaine à la passerelle. RouterOS le fait avec une entrée statique FWD, de sorte que seul ce sous-domaine est transmis à la passerelle :
/ip dns static add type=FWD name=secure.acme.corp match-subdomain=yes forward-to=100.65.0.6
Quel trafic la règle couvre
La règle de l'étape 3 couvre tout ce qui sort du sous-réseau de machines : les machines vers l'IT, et les machines vers d'autres VLANs. Le trafic entrant dans le sous-réseau depuis l'IT ou depuis un autre VLAN routé est couvert lorsqu'il est envoyé vers une adresse jumelle ou un nom (la route de l'étape 2 s'en charge déjà).
Les machines qui communiquent entre elles sur le même VLAN, sans routeur intermédiaire, ne passent jamais par le routeur. Pour ces cas, voir Rediriger le trafic sur vos commutateurs.
Ce qui reste sur le routeur
Le routeur conserve une route et une règle, configurées une seule fois. Les droits d'accès par machine, l'authentification, l'enregistrement de sessions, le chiffrement et les journaux résident tous sur Access Gate. Quand l'équipe réseau demande ce qui change sur le routeur, la réponse est : une règle mangle et sa route, une fois.