Pour déployer un Secure Twin avec Twin DNS, donnez à chaque actif un nom DNS dans Access Gate, définissez le suffixe de zone sur son sous-réseau, puis déléguez ce sous-domaine depuis votre DNS d'entreprise vers le résolveur Access Gate. Les clients demandent toujours le même nom ; la réponse pointe désormais à travers l'Access Gate, et rien ne change sur l'actif.
Lorsque les assets sont atteints par leur nom plutôt que par une IP codée en dur, vous pouvez les placer sous le Secure Twin sans toucher à un seul équipement. Attribuez à chaque asset un nom DNS qui se résout vers son adresse overlay, puis déléguez cette zone depuis votre DNS existant. Les clients continuent de demander le même nom ; la réponse qu'ils reçoivent les fait discrètement transiter par l'Access Gate.
Ce guide s'appuie directement sur Configuration du DNS de l'Access Gate, qui explique comment attribuer un nom à chaque asset. Nous passons ici à l'étape suivante : faire en sorte que votre DNS d'entreprise transmette ces noms à Access Gate.
À quel problème répond Twin DNS ?
Chaque asset de l'inventaire Access Gate peut porter sa propre entrée DNS, et Access Gate en héberge la résolution, sans boîtier supplémentaire à mettre en place. Le nom se résout non pas vers l'adresse réelle de l'équipement mais vers son IP overlay, de sorte qu'un client qui se connecte par le nom est transparentement acheminé à travers l'Access Gate pour l'application des politiques.
La seule question qui reste est de savoir comment les clients atteignent le résolveur Access Gate. Plutôt que de repointer le DNS de chaque client vers Access Gate, vous déléguez un unique sous-domaine, par exemple secure.acme.corp, vers lui. Votre DNS existant reste autoritaire pour tout le reste ; seuls les noms sous ce sous-domaine sont remis à Access Gate, qui prend alors le relais.
Comment fonctionne Twin DNS ?
Deux systèmes coopèrent, et aucun ne touche aux assets :
- Access Gate résout les noms des assets. Chaque asset reçoit un préfixe (son nom) ; chaque sous-réseau apporte un suffixe (la zone). Ensemble, ils forment un nom pleinement qualifié qui se résout vers l'adresse overlay de l'asset.
- Votre DNS délègue la zone. Vous configurez un split DNS afin qu'un sous-domaine,
secure.acme.corp, soit transféré vers le résolveur Access Gate. Toute recherche sous ce sous-domaine renvoie une adresse overlay, et le trafic suit.
Parce que c'est la résolution qui change, les assets conservent leurs IPs réelles, leurs passerelles et leur routage. Un client reçoit simplement une réponse overlay au lieu d'une réponse underlay.
Labo de référence
Une unique zone d'entreprise est reprise à chaque étape afin que les noms concordent :
| Élément | Valeur | Rôle |
|---|---|---|
| Zone d'entreprise | acme.corp | Votre DNS interne existant |
| Sous-domaine délégué | secure.acme.corp | Transféré vers Access Gate |
| Résolveur Access Gate | 100.65.0.6 | Héberge les noms des assets protégés |
| Asset d'exemple | plc-line-1, underlay 10.0.0.3 | Se résout vers l'overlay 100.64.100.3 |
Ainsi, plc-line-1.secure.acme.corp se résout vers 100.64.100.3, et le trafic vers ce nom transite par l'Access Gate en chemin vers le 10.0.0.3 réel.
Comment déployer un Secure Twin avec Twin DNS, pas à pas
1. Attribuer un nom DNS à chaque asset
Dans Access Gate, ouvrez Asset → [Asset], sélectionnez l'icône en forme de crayon et saisissez le préfixe de l'asset (son nom).
Le nom se résout désormais vers l'IP overlay de l'asset, de sorte que le trafic qui lui est envoyé est dirigé à travers le proxy Access Gate plutôt que directement vers l'équipement.
2. Définir le suffixe de zone sur le sous-réseau
Le suffixe provient de votre configuration vnet, sous Settings → Subnets → Overlay DNS Name. Définissez-le sur le sous-domaine que vous allez déléguer, secure.acme.corp, et chaque entrée d'asset sur ce sous-réseau en hérite.
3. Confirmer la résolution sur Access Gate
Avant de déléguer, confirmez qu'Access Gate résout le nom vers une adresse overlay.
dig @100.65.0.6 plc-line-1.secure.acme.corp +short
# 100.64.100.3 -> une adresse overlay confirme qu'Access Gate résout correctement
4. Déléguer le sous-domaine depuis votre DNS (split DNS)
Sur votre DNS existant, transférez la zone secure.acme.corp vers le résolveur Access Gate. Tout ce qui se trouve en dehors de ce sous-domaine reste exactement tel quel.
# BIND : ne transférer que la zone déléguée vers Access Gate
zone "secure.acme.corp" {
type forward;
forward only;
forwarders { 100.65.0.6; }; # Access Gate resolver
};
Sur Windows DNS, il s'agit d'un Conditional Forwarder pour secure.acme.corp pointant vers 100.65.0.6 ; la plupart des autres résolveurs exposent le même concept de « transférer cette zone ».
5. Vérifier depuis un client
Depuis un client ordinaire utilisant votre DNS d'entreprise, résolvez l'asset par son nom. La réponse doit être une adresse overlay, et la session doit transiter par l'Access Gate.
nslookup plc-line-1.secure.acme.corp
# Address: 100.64.100.3 -> résolu via la zone déléguée, à travers Access Gate
À quoi ressemble le chemin complet du trafic
client [asks corporate DNS for plc-line-1.secure.acme.corp]
-> Corporate DNS (acme.corp) [forwards secure.acme.corp -> Access Gate resolver]
-> Access Gate resolver (100.65.0.6) [answers 100.64.100.3, the overlay address]
-> client connects to 100.64.100.3
-> Access Gate (policy enforcement) [maps 100.64.100.3 -> 10.0.0.3]
-> plc-line-1 (10.0.0.3)
Du point de vue du client, il a recherché un nom et s'y est connecté comme toujours. En réalité, le nom s'est résolu vers une adresse overlay et la session est passée à travers l'Access Gate, sans aucun changement de l'IP réelle, de la passerelle ou du routage de l'asset.
Quand l'utiliser, et quand ne pas l'utiliser
Déléguer un sous-domaine place les actifs nommés sous le Secure Twin sans y toucher. Vous changez un seul forwarder dans votre DNS, et chaque nom qui en dépend est attiré à travers l'Access Gate. Cela se marie naturellement avec les certificats SSL/TLS, qui sont émis pour un nom plutôt que pour une adresse.
Cela convient quand les actifs sont joints par nom, que vous contrôlez une zone que vous pouvez déléguer, et que vous migrez un actif à la fois.
Utilisez une autre façon quand les actifs sont joints par IP brute. Twin IPs est l'autre méthode par actif : elle change la destination que vise l'actif plutôt que la réponse qu'il reçoit. Pour déplacer un sous-réseau entier en une seule opération, utilisez Source-Based Routing. Voyez Choisir votre déploiement Secure Twin.