Déployer Secure Twin avec le routage basé sur la source

Lorsque vous devez placer un réseau entier sous le Secure Twin, plutôt qu'un seul flux ou un seul équipement, le routage basé sur la source est la voie qui demande le moins d'efforts. Au lieu de faire correspondre des destinations individuelles, on indique au routeur que tout ce qui provient d'un sous-réseau d'origine, par exemple un VLAN OT, est acheminé via Access Gate. Une seule politique sur le routeur attire tout le réseau à travers le gate ; pas un seul équipement n'est reconfiguré.

L'objectif

Le cas d'usage le plus courant est la migration. Un réseau, généralement OT, doit passer sous application Zero-Trust, mais les équipements qui le composent ne peuvent pas être reconfigurés : pas de nouvelle IP, pas de nouvelle passerelle, pas d'agent. Souvent, vous voulez aussi déplacer la protection à la granularité d'un VLAN ou d'un sous-réseau entier d'un coup, et non équipement par équipement.

Le routage basé sur la source résout cela au niveau du routeur. Vous laissez chaque équipement OT exactement tel qu'il est, et vous changez une seule chose dans le réseau : la politique du routeur pour le trafic sortant de ce sous-réseau. Dès lors, Access Gate voit les flux Est-Ouest et Nord-Sud du réseau, applique la politique d'enclave, l'identité et le chiffrement, et représente chaque équipement au reste du réseau par son identité overlay. Migrer un VLAN sous le Secure Twin devient un unique changement de routage que vous pouvez préparer et annuler.

Comment ça fonctionne

Deux éléments agissent de concert, et aucun d'eux ne se trouve sur les équipements :

• La plage overlay donne au sous-réseau d'origine un Secure Twin : un mappage 1:1 (un « binat ») de chaque adresse underlay vers une adresse overlay. Dans ce labo, il préserve le dernier octet : 192.168.1.X sur l'underlay OT correspond à 100.64.1.X sur l'overlay.
• Une route basée sur la source sur le routeur fait correspondre le trafic par sa source (l'ensemble du sous-réseau OT 192.168.1.0/24) et l'envoie à Access Gate via l'interconnexion, quelle que soit la destination. Access Gate applique la politique d'enclave et le chiffrement, présente l'équipement à l'autre extrémité par son identité overlay, et fait du NAT sur le chemin de retour vers l'équipement réel.

Comme la décision est prise sur le routeur d'après l'adresse source, tout le sous-réseau est redirigé avec une seule règle, et les équipements conservent leur propre IP, leur passerelle et leur routage intacts.

Labo de référence

L'exemple met en scène un réseau OT qui atteint un service IT, le cas classique pour lequel le routage basé sur la source a été conçu.

L'overlay préserve le dernier octet : 192.168.1.X sur le sous-réseau OT correspond à 100.64.1.X sur l'overlay, de sorte que le PLC (192.168.1.10) est représenté par 100.64.1.10.

Étape par étape

1. Configurer le sous-réseau d'origine dans Access Gate

Créez un sous-réseau dans Access Gate pour le réseau OT et donnez-lui un overlay, afin que chaque équipement obtienne une adresse Secure Twin. Dans ce labo, l'underlay OT 192.168.1.0/24 correspond à l'overlay 100.64.1.0/24. Pour la définition des sous-réseaux, des overlays et du port Secure Twin dans l'interface utilisateur, voir Déployer Secure Twin avec Twin IPs.

2. Router par la source le réseau d'origine via Access Gate

Sur le routeur, ajoutez une route basée sur la source (route de politique) : tout ce qui provient du sous-réseau OT est envoyé à Access Gate via l'interconnexion, quelle que soit sa destination.

# Sur le routeur : router par politique tout ce qui provient du sous-réseau OT via Access Gate
ip rule add from 192.168.1.0/24 table 100
ip route add default via 100.65.0.4 table 100   # Interconnexion Access Gate

Seul le sous-réseau d'origine est mis en correspondance, de sorte que le trafic des autres réseaux reste intact. Sur un routeur d'un constructeur, c'est la même idée exprimée sous la forme d'une règle route-map / policy-based-routing appuyée sur le préfixe source.

3. Vérifier le chemin complet

Depuis un équipement OT, joignez le serveur IT exactement comme avant. Le routeur oriente désormais le flux à travers Access Gate à la sortie.

ping -c3 192.168.2.20   # depuis l'équipement OT (192.168.1.10)

Sur Access Gate, le flux apparaît sous l'enclave OT avec l'identité overlay de l'équipement (100.64.1.10) ; la politique, l'identité et le chiffrement s'appliquent avant que le paquet ne soit transmis à 192.168.2.20, et la réponse est NATée vers l'équipement réel.

Le chemin complet

OT device (192.168.1.10)  [reaches IT server 192.168.2.20 as usual]
  -> Router / L3 gateway  [source-based route: from 192.168.1.0/24 -> Access Gate interconnect]
  -> Access Gate (enclave policy, identity, encryption)  [presents OT device as overlay 100.64.1.10]
  -> IT server (192.168.2.20)  [sees the OT device by its overlay identity]
  -> and back through Access Gate, NATed to the OT device (192.168.1.10)

Du point de vue de l'équipement OT, il a joint le serveur IT à son adresse habituelle. En réalité, le routeur a orienté le trafic de tout le sous-réseau à travers Access Gate, qui a appliqué la politique d'enclave et le chiffrement et a représenté l'équipement par son identité overlay, sans aucun changement d'adresse, de passerelle ou de routage sur le moindre équipement.

Une seule règle pour migrer un réseau entier

Le routage basé sur la source est la méthode à privilégier lorsque l'unité de changement est un réseau, et non un équipement : une seule politique de routeur place tout un sous-réseau ou VLAN sous le Secure Twin, et elle peut être préparée et annulée comme n'importe quel changement de routage. Elle se marie naturellement avec les migrations à l'échelle d'un équipement ou d'un VLAN, là où les extrémités doivent rester exactement telles qu'elles sont.

Si vous avez besoin d'un contrôle par flux plutôt que d'un sous-réseau entier, utilisez le NAT de passerelle (L3) ; si vous pouvez modifier l'actif, modifier les IP est plus simple ; et là où les deux équipements partagent un segment sans saut L3 entre eux, le proxy ARP (L2) s'en charge au niveau 2.