Déployer Access Gate avec Ubiquiti UniFi

Ce guide accompagne, de bout en bout depuis l'application UniFi Network, la mise en service d'une passerelle Ubiquiti UniFi (UDM / UXG avec un switch UniFi) : de « Access Gate dans le rack » à « trafic OT circulant à travers la passerelle ». Vous connectez deux ports, attribuez à la passerelle une place sur le réseau et choisissez comment le trafic l'atteint. Rien ne change sur les équipements OT.

Ce que vous allez construire

Access Gate est un équipement physique que vous câblez à deux ports sur deux sous-réseaux différents : un port d'administration sur votre réseau d'administration, et un port de protection sur un petit réseau dédié qui transporte le trafic que vous acheminez à travers la passerelle.

Laboratoire de référence

1. Connectivité physique : deux ports, deux réseaux

Placez le port d'administration et le port de protection sur des réseaux différents afin que le trafic de gestion et le trafic acheminé ne partagent jamais le même domaine de diffusion.

1. Créez les réseaux dans Settings → Networks :
   • Admin : VLAN 254, 192.168.254.0/24, passerelle 192.168.254.1.
   • AG-Protect : VLAN 65, 100.65.0.0/29, passerelle 100.65.0.1.
2. Affectez les ports du switch dans Ports → [port] → Port Manager :
   • Un port avec Native VLAN = Admin → câblé au port d'administration (5) d'Access Gate.
   • Un port avec Native VLAN = AG-Protect → câblé au port de protection (1) d'Access Gate.

L'interface d'administration obtient un bail DHCP depuis le réseau d'administration, ou revient à 10.0.0.1 après environ une minute en l'absence de serveur DHCP ; configurez-la en statique à 192.168.254.50 depuis la console si vous préférez une adresse fixe.

2. Ajouter une route vers l'overlay

Le Secure Twin réside dans l'overlay 100.64.0.0/16, l'espace d'adressage parallèle où chaque asset reçoit un jumeau. Ajoutez une route statique dans Settings → Routing → Static Routes afin que tout trafic à destination de cette plage soit transmis à 100.65.0.6, le port de protection d'Access Gate :

• Destination : 100.64.0.0/16
• Prochain saut : 100.65.0.6

À partir de là, tout paquet adressé à une adresse jumeau (overlay) est envoyé à Access Gate sur son port de protection, et la passerelle le proxifie vers l'équipement réel ; atteindre une adresse jumeau suffit donc à faire passer le flux à travers la passerelle.

3. Pointer le DNS vers Access Gate

La passerelle héberge un résolveur à 100.65.0.6 qui traduit les noms des assets en adresses overlay. Vous pouvez l'utiliser pour tout le trafic ou uniquement pour un sous-domaine.

• Tout le trafic : modifiez le réseau OT dans Settings → Networks, puis sous DHCP → DNS Server saisissez manuellement 100.65.0.6. Chaque équipement de ce réseau résoudra alors via la passerelle.
• Sous-domaine uniquement : la passerelle UniFi ne prend pas en charge le transfert conditionnel par zone de manière fiable ; conservez votre DNS existant et ajoutez un redirecteur conditionnel pour secure.acme.corp → 100.65.0.6 sur votre serveur DNS de site (Windows DNS, BIND ou Infoblox). Voir Configuring Access Gate DNS.

4. Acheminer le trafic à travers la passerelle

Deux façons d'amener le trafic vers la passerelle. Le routage basé sur la source sécurise ce qui **vient d'**un réseau : vous filtrez sur le point de départ du paquet. Le routage basé sur la destination sécurise ce qui va vers un équipement : vous filtrez sur sa destination. Utilisez l'un, l'autre, ou les deux, selon ce que vous voulez protéger. Dans les deux cas, l'Access Gate assure la traduction entre l'adresse réelle de l'équipement et son jumeau.

5. Vérifier le chemin complet

Depuis un équipement OT, atteignez une destination exactement comme avant. La passerelle achemine désormais le flux à travers Access Gate à la sortie.

ping 192.168.2.20   # from the OT device (192.168.1.10)

Sur Access Gate, le flux apparaît dans son enclave avec l'identité overlay de l'équipement (100.64.1.10) ; l'identité, la politique et le chiffrement s'appliquent avant que le paquet soit transmis, et la réponse est NATée vers l'équipement réel.

Vous pouvez également tester le sens IT vers OT : depuis un client IT, atteignez un asset OT par son adresse jumeau ou son nom DNS (ping 100.64.1.10). La route overlay achemine ce paquet vers la passerelle, qui le proxifie vers l'équipement réel.

Ce qui réside où

La passerelle UniFi ne contient qu'une seule chose : une règle qui dit, en substance, « ces paquets, transmets-les à ce prochain saut ». Qu'elle porte sur la source ou sur la destination, elle est statique.

Tout le reste réside sur Access Gate : authentification, ACL d'enclave, proxification, injection de credentials, enregistrement de sessions, terminaison TLS et journalisation. Rien de tout cela n'est exprimable sur la passerelle UniFi, et rien n'y est configuré.

Cette séparation mérite d'être explicitée à l'équipe réseau, car « nous devons configurer votre passerelle » semble alarmant jusqu'à ce qu'ils constatent qu'il s'agit d'une règle de transfert, non d'un moteur de politique. Leur gestion des changements ne voit qu'une route, une seule fois.

Récapitulatif

Vous avez créé deux réseaux dans UniFi, câblé la passerelle à deux ports de switch sur deux sous-réseaux (réseau d'administration + protection /29), adressé la passerelle à 100.65.0.6, routé l'overlay vers elle, pointé le DNS vers son résolveur et acheminé le trafic par la source, par la destination, ou les deux. Le trafic OT circule désormais à travers Access Gate sans aucune modification sur les assets.

Ressources associées

• Déployer Secure Twin avec le routage basé sur la source
• Configuring Access Gate DNS
• Déployer Secure Twin via NAT de passerelle (L3)
• Choisir un déploiement Secure Twin