Sur une passerelle Ubiquiti UniFi, vous connectez Access Gate avec deux ports de commutateur et ajoutez deux paramètres dans l'application UniFi Network : une route pour les adresses jumelles, et une règle qui fait transiter tout un sous-réseau de machines par la passerelle. Rien ne change sur les machines, et supprimer la règle annule l'opération.
Ce que vous allez construire
Les exemples utilisent les adresses suivantes. Remplacez-les par les vôtres.
| Élément | Exemple |
|---|---|
| Réseau d'administration | Admin, VLAN 254, 192.168.254.0/24, passerelle 192.168.254.1 |
| Réseau dédié à la passerelle | AG-Protect, VLAN 65, 100.65.0.0/29 : passerelle 100.65.0.1, gate 100.65.0.6 |
| Adresses jumelles | 100.64.0.0/16 |
| Votre sous-réseau de machines | 192.168.1.0/24, PLC 192.168.1.10 (adresse jumelle 100.64.1.10) |
1. Connecter deux ports
- Dans Settings → Networks, créez deux réseaux :
Admin: VLAN 254,192.168.254.0/24, passerelle192.168.254.1.AG-Protect: VLAN 65,100.65.0.0/29, passerelle100.65.0.1.
- Dans Ports → [port] → Port Manager, configurez un port sur Native VLAN = Admin et un autre sur Native VLAN = AG-Protect.
- Câblez le port
Adminvers le port d'administration (5) d'Access Gate et le portAG-Protectvers son port de protection (1).
Le port d'administration obtient une adresse sur votre réseau d'administration via DHCP, ou utilise 10.0.0.1 après environ une minute si aucun serveur DHCP n'est disponible. Vous pouvez lui attribuer une adresse fixe, par exemple 192.168.254.50, depuis la console.
2. Ajouter la route pour les adresses jumelles
Access Gate attribue à chaque machine une adresse jumelle dans 100.64.0.0/16. Dans Settings → Routing → Static Routes, ajoutez :
- Destination :
100.64.0.0/16 - Next hop :
100.65.0.6
Aucun trafic n'utilise encore ces adresses, donc cette configuration ne change rien en elle-même. Elle permet aux réponses de revenir par la passerelle après l'étape 3.
3. Basculer avec une seule règle
Cette règle envoie tout le trafic provenant de votre sous-réseau de machines vers la passerelle en premier, quelle que soit sa destination. Dans Settings → Routing → Policy-Based Routes, ajoutez :
- Source : votre réseau de machines (
192.168.1.0/24) - Destination : any
- Next hop / interface :
AG-Protect(100.65.0.6)
L'enregistrement de la règle effectue le basculement. Vos machines conservent leur adresse, leur passerelle et leurs paramètres.
Pour annuler : supprimez la route basée sur les politiques (policy-based route).
4. Vérifier le fonctionnement
Depuis une machine, accédez à une ressource avec laquelle elle communique habituellement, exactement comme avant :
ping 192.168.2.20
Dans la console Access Gate, le flux apparaît désormais sous son enclave. Access Gate démarre en mode simulation (dry run) : il affiche ce qu'il bloquerait sans rien bloquer, jusqu'à ce que vous approuviez les règles.
Vous pouvez également tester dans l'autre sens : depuis un ordinateur IT, accédez à la machine par son adresse jumelle (ping 100.64.1.10). La route de l'étape 2 achemine le trafic vers la passerelle, qui le transmet à la machine réelle.
Autres options
Contrôleur plus ancien sans Policy-Based Routes
Le routage basé sur les politiques (Policy-Based Routes) n'est disponible que sur les passerelles UniFi OS récentes. Sur un contrôleur plus ancien, utilisez la route de l'étape 2, qui fonctionne toujours : les personnes et les systèmes accèdent à chaque machine par son adresse jumelle ou son nom, et ce trafic transite par la passerelle, quel qu'en soit l'émetteur. Pour couvrir une seule machine, ajoutez une route statique pour son adresse jumelle dans Settings → Routing → Static Routes :
- Destination :
100.64.1.10/32 - Next hop :
100.65.0.6
Vous pouvez également appliquer la règle unique sur un équipement amont qui la prend en charge, comme un commutateur Catalyst. Pour comprendre le fonctionnement général du schéma d'adresses jumelles, consultez Rediriger le trafic avec le NAT de votre routeur.
Accéder aux machines par leur nom
Access Gate répond aux requêtes DNS sur 100.65.0.6 et attribue à chaque machine un nom pointant vers son adresse jumelle. Vous pouvez transmettre ce résolveur à un réseau : modifiez-le dans Settings → Networks et, sous DHCP → DNS Server, définissez manuellement la valeur 100.65.0.6.
Vous pouvez aussi conserver votre DNS et transférer un seul sous-domaine vers la passerelle. La passerelle UniFi ne transfère pas de manière fiable une seule zone ; ajoutez donc un redirecteur conditionnel (conditional forwarder) pour secure.acme.corp → 100.65.0.6 sur votre serveur DNS de site (Windows DNS, BIND ou Infoblox). Consultez Donner des noms simples à vos machines.
Quel trafic la règle couvre
La règle de l'étape 3 couvre tout ce qui sort du sous-réseau de machines : les machines vers IT, et les machines vers d'autres réseaux. Le trafic entrant dans le sous-réseau depuis IT est couvert lorsqu'il est envoyé vers une adresse jumelle ou un nom (la route de l'étape 2 s'en charge déjà).
Les machines qui communiquent entre elles sur le même réseau, sans routeur intermédiaire, ne passent jamais par le routage de la passerelle. Pour ces cas, consultez Rediriger le trafic sur vos commutateurs.
Ce qui reste sur la passerelle
La passerelle UniFi conserve une route et une règle, configurées une seule fois. Les droits d'accès par machine, l'authentification, l'enregistrement des sessions, le chiffrement et les journaux résident tous sur Access Gate. Quand l'équipe réseau demande ce qui change sur la passerelle, la réponse est : une règle, une fois.