Lorsque les assets sont atteints par leur nom plutôt que par une IP codée en dur, vous pouvez les placer sous le Secure Twin sans toucher à un seul équipement. Attribuez à chaque asset un nom DNS qui se résout vers son adresse overlay, puis déléguez cette zone depuis votre DNS existant. Les clients continuent de demander le même nom ; la réponse qu'ils reçoivent les fait discrètement transiter par l'Access Gate.
Ce guide s'appuie directement sur Configuration du DNS de l'Access Gate, qui explique comment attribuer un nom à chaque asset. Nous passons ici à l'étape suivante : faire en sorte que votre DNS d'entreprise transmette ces noms à Access Gate.
L'objectif
Chaque asset de l'inventaire Access Gate peut porter sa propre entrée DNS, et Access Gate en héberge la résolution, sans boîtier supplémentaire à mettre en place. Le nom se résout non pas vers l'adresse réelle de l'équipement mais vers son IP overlay, de sorte qu'un client qui se connecte par le nom est transparentement acheminé à travers l'Access Gate pour l'application des politiques.
La seule question qui reste est de savoir comment les clients atteignent le résolveur Access Gate. Plutôt que de repointer le DNS de chaque client vers Access Gate, vous déléguez un unique sous-domaine, par exemple secure.acme.corp, vers lui. Votre DNS existant reste autoritaire pour tout le reste ; seuls les noms sous ce sous-domaine sont remis à Access Gate, qui prend alors le relais.
Comment ça fonctionne
Deux systèmes coopèrent, et aucun ne touche aux assets :
- Access Gate résout les noms des assets. Chaque asset reçoit un préfixe (son nom) ; chaque sous-réseau apporte un suffixe (la zone). Ensemble, ils forment un nom pleinement qualifié qui se résout vers l'adresse overlay de l'asset.
- Votre DNS délègue la zone. Vous configurez un split DNS afin qu'un sous-domaine,
secure.acme.corp, soit transféré vers le résolveur Access Gate. Toute recherche sous ce sous-domaine renvoie une adresse overlay, et le trafic suit.
Parce que c'est la résolution qui change, les assets conservent leurs IPs réelles, leurs passerelles et leur routage. Un client reçoit simplement une réponse overlay au lieu d'une réponse underlay.
Labo de référence
Une unique zone d'entreprise est reprise à chaque étape afin que les noms concordent :
| Élément | Valeur | Rôle |
|---|---|---|
| Zone d'entreprise | acme.corp | Votre DNS interne existant |
| Sous-domaine délégué | secure.acme.corp | Transféré vers Access Gate |
| Résolveur Access Gate | 100.65.0.6 | Héberge les noms des assets protégés |
| Asset d'exemple | plc-line-1, underlay 10.0.0.3 | Se résout vers l'overlay 100.64.100.3 |
Ainsi, plc-line-1.secure.acme.corp se résout vers 100.64.100.3, et le trafic vers ce nom transite par l'Access Gate en chemin vers le 10.0.0.3 réel.
Étape par étape
1. Attribuer un nom DNS à chaque asset
Dans Access Gate, ouvrez Asset → [Asset], sélectionnez l'icône en forme de crayon et saisissez le préfixe de l'asset (son nom).
Le nom se résout désormais vers l'IP overlay de l'asset, de sorte que le trafic qui lui est envoyé est dirigé à travers le proxy Access Gate plutôt que directement vers l'équipement.
2. Définir le suffixe de zone sur le sous-réseau
Le suffixe provient de votre configuration vnet, sous Settings → Subnets → Overlay DNS Name. Définissez-le sur le sous-domaine que vous allez déléguer, secure.acme.corp, et chaque entrée d'asset sur ce sous-réseau en hérite.
3. Confirmer la résolution sur Access Gate
Avant de déléguer, confirmez qu'Access Gate résout le nom vers une adresse overlay.
dig @100.65.0.6 plc-line-1.secure.acme.corp +short
# 100.64.100.3 -> une adresse overlay confirme qu'Access Gate résout correctement
4. Déléguer le sous-domaine depuis votre DNS (split DNS)
Sur votre DNS existant, transférez la zone secure.acme.corp vers le résolveur Access Gate. Tout ce qui se trouve en dehors de ce sous-domaine reste exactement tel quel.
# BIND : ne transférer que la zone déléguée vers Access Gate
zone "secure.acme.corp" {
type forward;
forward only;
forwarders { 100.65.0.6; }; # Access Gate resolver
};
Sur Windows DNS, il s'agit d'un Conditional Forwarder pour secure.acme.corp pointant vers 100.65.0.6 ; la plupart des autres résolveurs exposent le même concept de « transférer cette zone ».
5. Vérifier depuis un client
Depuis un client ordinaire utilisant votre DNS d'entreprise, résolvez l'asset par son nom. La réponse doit être une adresse overlay, et la session doit transiter par l'Access Gate.
nslookup plc-line-1.secure.acme.corp
# Address: 100.64.100.3 -> résolu via la zone déléguée, à travers Access Gate
Le chemin complet
client [asks corporate DNS for plc-line-1.secure.acme.corp]
-> Corporate DNS (acme.corp) [forwards secure.acme.corp -> Access Gate resolver]
-> Access Gate resolver (100.65.0.6) [answers 100.64.100.3, the overlay address]
-> client connects to 100.64.100.3
-> Access Gate (policy enforcement) [maps 100.64.100.3 -> 10.0.0.3]
-> plc-line-1 (10.0.0.3)
Du point de vue du client, il a recherché un nom et s'y est connecté comme toujours. En réalité, le nom s'est résolu vers une adresse overlay et la session est passée à travers l'Access Gate, sans aucun changement de l'IP réelle, de la passerelle ou du routage de l'asset.
Orienter par le nom, sans rien toucher d'autre
Déléguer un sous-domaine est la manière la moins intrusive de placer des assets nommés sous le Secure Twin : vous changez un seul forwarder dans votre DNS, et chaque nom qui en dépend est attiré à travers l'Access Gate. Cela se marie naturellement avec les certificats SSL/TLS, qui sont émis pour un nom plutôt que pour une adresse.
Si vos assets sont atteints par IP brute plutôt que par nom, utilisez modifier les IPs, le NAT de passerelle (L3) ou le proxy ARP (L2) pour obtenir le même résultat.