Dans Access Gate, vous attribuez un nom à chaque machine, par exemple plc-line-1. Ce nom pointe vers l'adresse jumelle de la machine, de sorte que tout trafic qui l'utilise transite par Access Gate. Rien ne change sur les machines ni sur votre réseau existant.
Les noms constituent la base pour protéger une machine accessible par son nom, l'une des méthodes permettant de migrer les machines une par une. La méthode recommandée pour protéger un sous-réseau entier reste une règle sur votre routeur ; les noms sont utiles dans les deux cas.
Pourquoi les noms sont utiles
- Les personnes les retiennent facilement.
plc-line-1est plus simple qu'une adresse. - Vous modifiez une adresse en un seul endroit. Lorsque l'adresse d'une machine change, vous mettez à jour une seule entrée au lieu de rechercher dans tous les paramètres du site.
- Ils permettent l'utilisation de certificats. Les certificats SSL/TLS sont émis pour un nom, pas pour une adresse.
De nombreuses installations industrielles n'utilisent pas le DNS pour les machines, car les adresses fixes sont plus faciles à gérer. Ici, Access Gate gère les noms lui-même, à partir du même inventaire, sans serveur supplémentaire à configurer.
1. Attribuer un nom à une machine
- Accédez à Asset → [Asset] et sélectionnez l'icône en forme de crayon.
- Saisissez le prefix : le nom de la machine.
Le nom pointe désormais vers l'adresse jumelle de la machine, de sorte que le trafic qui lui est envoyé transite par Access Gate plutôt que directement vers la machine.
2. Définir le suffixe une fois par zone
La fin du nom provient de la zone de la machine : son DNS name, sous Settings → Zones. Il se définit une seule fois, à la création de la zone, et chaque machine de cette zone l'utilise. Pour bien le choisir, voir Configurer les zones.
3. Permettre aux utilisateurs d'utiliser les noms
Les ordinateurs doivent interroger Access Gate pour résoudre ces noms. Vous pouvez soit transférer un sous-domaine depuis votre DNS d'entreprise vers Access Gate, comme décrit dans Protéger une machine accessible par son nom, soit attribuer le serveur DNS Access Gate à un VLAN via DHCP, comme dans le guide Cisco Catalyst.
Lorsque les noms ne se résolvent pas
Access Gate répond aux requêtes DNS sur son port de protection, l'interconnexion avec votre routeur (100.65.0.6 dans les exemples). Il dispose de deux ports actifs : un port d'administration et un port d'interconnexion. Si un ordinateur ne peut pas atteindre l'adresse d'interconnexion, les noms ne se résolvent pas depuis cet ordinateur : vérifiez que votre routeur achemine le trafic vers cette adresse et qu'aucun pare-feu ne bloque le DNS (port 53) sur le chemin.
Serveurs DNS utilisés par Access Gate
Les noms ci-dessus sont ceux auxquels Access Gate répond. Access Gate doit aussi interroger un serveur DNS pour ses propres besoins : le nom du serveur NTP (time.google.com par défaut), le nom de votre serveur d'annuaire (par exemple ldaps://dc01.example.com) et les serveurs de mises à jour.
Déclarez ces serveurs DNS sous Settings → Networking → Integrated Services :
- La modification s'applique immédiatement, sans redémarrage.
- Access Gate interroge tous les serveurs déclarés en même temps : ne déclarez donc que des serveurs capables de répondre pour vos noms internes.
- Les requêtes partent de l'adresse du port overlay (
100.65.0.6dans les exemples). Autorisez UDP 53 depuis cette adresse vers ces serveurs. - Si aucun serveur n'est déclaré, Access Gate ne peut résoudre aucun nom. Les journaux affichent alors
lookup <name> on [::1]:53: … cannot assign requested address, par exemple lorsqu'il tente de joindre son serveur NTP ou un annuaire.
Sur un réseau sans accès à Internet, ce sont aussi ces serveurs DNS qui permettent à Access Gate de trouver une source de temps locale, voir Configurer NTP.