Commencez par une seule route sur votre routeur
La façon recommandée est une seule route sur le routeur ou le commutateur que vous avez déjà. Cette route fait passer le trafic par Access Gate. Rien ne change sur les machines ni sur les postes clients. Pour revenir en arrière, vous supprimez cette seule ligne.
La route prend l'une de deux formes, avec la même logique. Une route basée sur la source s'appuie sur l'origine du trafic, elle couvre donc tout un sous-réseau ou un VLAN. Une route basée sur la destination s'appuie sur l'endroit où va le trafic, elle couvre donc les machines que vous désignez.
Chez un grand industriel de Caroline du Nord, une ligne de production en marche a été placée derrière Access Gate en moins d'une minute, avec une seule route sur le commutateur Cisco existant, une fois le Secure Twin construit et les enclaves validées. La production n'a pas été interrompue.
| Votre situation | Votre guide |
|---|---|
| Vous pouvez ajouter une route sur votre routeur ou commutateur (recommandé) | Protéger tout un sous-réseau avec une seule règle sur le routeur, ou la route basée sur la destination sur un Cisco Catalyst |
| Vous voulez déplacer une machine que vous joignez par son nom | Protéger une machine que vous joignez par son nom |
| Vous voulez déplacer une machine que vous joignez par son adresse | Protéger une machine que vous joignez par son adresse |
Vous hésitez ? Ajoutez une seule route sur votre routeur. Si vous voulez d'abord valider le chemin sur une seule machine, utilisez Twin DNS ou Twin IPs, puis ajoutez la route. Si vos machines n'ont pas encore de nom, donnez d'abord des noms simples à vos machines.
Le Secure Twin est le réseau overlay qu'Access Gate pose à côté de votre réseau existant. Il authentifie, chiffre et applique une politique sur le trafic sans renuméroter ni recâbler quoi que ce soit. Les méthodes ne diffèrent que par l'endroit où se fait la redirection : sur le routeur, dans le DNS, sur l'adresse visée par le client ou sur le commutateur.
La règle qui ne change jamais : les machines gardent leurs propres IP. Rien n'est modifié sur l'équipement, quelle que soit la méthode.
Les trois façons
Une seule route sur votre routeur
Une seule route sur votre routeur ou commutateur existant fait passer le trafic par Access Gate. Une route basée sur la source (Source-Based Routing) s'appuie sur l'origine du trafic, tout un sous-réseau ou un VLAN. Une route basée sur la destination s'appuie sur l'endroit où il va, les machines elles-mêmes. Rien ne change sur les machines ni sur les postes clients, et vous revenez en arrière en supprimant cette seule ligne.
C'est la façon par défaut pour toute migration, d'une ligne de production à une usine entière. Elle fonctionne aussi quand les machines ne peuvent pas être touchées du tout.
Une machine à la fois
Utilisez-les pour déplacer une seule machine, ou quand vous ne pouvez pas ajouter de route sur le routeur. Vous placez les machines sous le Secure Twin une par une et vous vérifiez chacune. Utilisez Twin DNS quand les machines sont jointes par nom et que vous contrôlez une zone que vous pouvez déléguer. Utilisez Twin IPs quand elles sont jointes par adresse et que vous pouvez modifier la destination visée par le client.
Les deux sont pleinement supportées. Elles servent aussi à valider le chemin sur une machine avant d'ajouter la route.
Configuration hors de l'Access Gate
Ces deux méthodes, IP NAT (L3) et ARP NAT (L2), sont de niveau avancé et se trouvent désormais dans Router & Switch Integration. Elles fonctionnent, mais elles dépendent de la configuration de systèmes qui n'appartiennent pas à l'Access Gate : des règles NAT sur votre routeur, ou l'isolation de ports et le proxy ARP sur vos commutateurs. Cette configuration vous revient : vous la construisez, la maintenez et la documentez, et le support est best-effort ou premium plutôt que standard.
Utilisez-les quand les deux premières façons vous sont réellement fermées : vous ne pouvez pas ajouter de politique de routage sur le routeur, et vous ne pouvez pas modifier la destination visée par les clients.
Choisir selon ce que vous pouvez modifier
- Je veux déployer un Secure Twin
- Pouvez-vous ajouter une route sur votre commutateur ou routeur ?
- Oui
- NonPouvez-vous modifier la destination configurée sur l'actif ?
- OuiLes actifs sont-ils joints par nom ?
- Oui
- Non
- NonY a-t-il un saut L3 entre les deux équipements ?
- Oui
- Non
- Oui
Évaluer l'effort
La route sur votre routeur, Twin DNS et Twin IPs sont pleinement supportés, avec une configuration et une maintenance faibles. La route demande le moins des deux. Le couple avancé repose sur la configuration de systèmes externes : attendez-vous à plus de mise en place et d'entretien.
Une fois votre choix fait, suivez le guide correspondant pour le pas à pas.