La plupart des sites déploient Access Gate en mode Lollipop : la passerelle se place à côté de votre réseau, vous ajoutez une route et une règle sur votre routeur, et le trafic de vos machines la traverse. Rien ne change sur les machines. Choisissez le mode In-Line uniquement si vous souhaitez que la passerelle porte elle-même vos VLANs pour une couverture maximale. Ajoutez le mode Bastion pour l'accès distant et Multi-Site Mesh pour connecter plusieurs sites.
| Mode | Ce qu'il fait | Comment le trafic atteint la passerelle | Choisissez-le quand |
|---|---|---|---|
| Lollipop (recommandé) | Protège vos machines depuis le côté du réseau | Une route et une règle sur votre routeur envoient le trafic vers la passerelle | Vous disposez d'un routeur ou d'un commutateur géré sur lequel vous pouvez ajouter une règle. Vous souhaitez le moins de perturbations possible. C'est le démarrage rapide. |
| In-Line | Protège vos machines depuis l'intérieur du chemin de trafic | La passerelle porte vos VLANs sur un trunk et constitue la passerelle de vos machines | Vous souhaitez une couverture maximale, ou vous n'avez pas de commutateur géré |
| Bastion | Laisse entrer les utilisateurs distants par une porte unique et contrôlée | VPN → Access Gate → machines | Opérateurs distants, prestataires, réponse à incident |
| Multi-Site Mesh | Partage l'accès aux machines entre plusieurs sites | Liens chiffrés entre Access Gates | Plusieurs sites industriels, services partagés, fusions et acquisitions |
Les modes Lollipop et In-Line sont deux points sur le même curseur : à côté du réseau pour un impact minimal, dans le chemin de trafic pour une couverture maximale.
Mode Lollipop (recommandé)
Access Gate se connecte à côté de votre réseau au lieu de porter ses VLANs. Le trafic lui est acheminé par une route et une règle sur votre routeur, sans recâblage. Vos routes, VLANs et adresses restent inchangés, ce qui limite l'impact sur un site en production.
Comment le configurer
- Connectez la passerelle à votre routeur avec deux câbles : un câble d'administration et un câble de protection sur un petit VLAN dédié.
- Ajoutez une route sur votre routeur : les adresses jumelles (
100.64.0.0/16) sont dirigées vers la passerelle. - Ajoutez une règle : tout le trafic provenant de votre sous-réseau de machines passe d'abord par la passerelle (basée sur la source). Pour protéger uniquement certaines machines, utilisez plutôt une route vers leurs adresses jumelles (basée sur la destination).
Rien ne change sur les machines. Pour annuler, supprimez la règle. Pour migrer une machine à la fois, utilisez les noms ou les adresses jumelles. Voir Choisir comment connecter vos machines.
Flux de trafic
Sans Access Gate : Client → Machine
Avec Access Gate : Client → Access Gate → Machine
Le client n'atteint jamais la machine directement. Access Gate termine la session du client et ouvre une deuxième session distincte vers la machine. Comme chaque session la traverse, Access Gate peut ajouter une authentification, un contrôle d'accès et des journaux de session devant des machines qui n'en disposent pas nativement.
Ce qui se passe en coulisses
- Visibilité : Access Gate observe votre trafic via un flux NetFlow provenant du routeur. NetFlow sert uniquement à la découverte et à la supervision, pas au blocage. Voir Supervision du trafic et Export NetFlow.
- Adresses jumelles : Access Gate attribue à chaque machine protégée une adresse jumelle, généralement dans
100.64.0.0/16. - Orientation : le DNS peut faire pointer les noms de machines vers leurs adresses jumelles, et le routage envoie ce trafic à travers Access Gate.
- Vos machines restent sur leur réseau d'origine, sans modification.
Pourquoi l'impact est faible
- Rien n'est ajouté dans le chemin de trafic principal.
- Aucune modification physique du réseau.
- Simple à déployer et à retirer.
- Le réseau continue de fonctionner si Access Gate est hors ligne.
Mode In-Line (couverture maximale)
La passerelle se place dans le chemin de trafic et porte elle-même vos VLANs, routes et commutation principale. Choisissez ce mode lorsque vous souhaitez que la passerelle contrôle directement les routes, VLANs et flux de paquets, ou lorsque vous ne disposez pas de commutateur géré pour orienter le trafic.
- Access Gate se connecte à votre commutateur d'accès (par exemple un Cisco Catalyst, Fortinet ou Netgear) sur un port trunk et porte ces VLANs à travers la passerelle.
- Vos machines utilisent Access Gate comme passerelle par défaut.
- Comme tout équipement dans le chemin de trafic, planifiez la disponibilité, par exemple une paire en haute disponibilité.
Comme la passerelle porte les VLANs, vous pouvez attribuer aux machines une adresse jumelle qui permet à Access Gate de contrôler leur trafic. Les machines atteignent l'adresse jumelle de deux façons :
- Sur la machine, en utilisant directement l'adresse jumelle.
- Avec du NAT entre VLANs.
Les machines peuvent toujours communiquer entre elles via leurs adresses réelles si ce trafic n'atteint jamais la passerelle. Voir ci-dessous.
Trafic entre machines sur le même VLAN
Deux machines sur le même VLAN communiquent via le commutateur et n'atteignent jamais la passerelle par défaut. Pour contrôler ce trafic, utilisez l'une des options suivantes :
- Une adresse jumelle sur les flux à protéger, par exemple un système passerelle communiquant avec un collecteur.
- Écoute passive uniquement. C'est le cas recommandé pour les systèmes à contraintes temporelles ou de diffusion, où un saut de routage supplémentaire briserait la synchronisation ou le multicast.
- Déplacer un système vers un autre VLAN, par exemple une station SCADA, et placer un proxy ARP sur Access Gate dans son VLAN d'origine.
Mode Bastion (accès distant)
Access Gate devient la porte d'entrée unique et contrôlée pour les personnes venant de l'extérieur du site. Les utilisateurs distants se connectent via un VPN (Tailscale ou WireGuard) à Access Gate, qui ouvre chaque session vers les machines auxquelles ils sont autorisés à accéder. Voir Accès Zero Trust distant et Gestion des accès privilégiés.
Utilisateurs distants → VPN (Tailscale / WireGuard) → Access Gate → Machines protégées
Le problème qu'il résout
L'accès distant à un site industriel se résume souvent à un VPN plat vers le réseau, un jump box ou un serveur RDP, ou à l'outil distant propriétaire d'un prestataire. Le mode Bastion remplace tout cela par :
- L'accès uniquement aux machines dont chaque personne a besoin.
- Une frontière claire et unique.
- Un enregistrement de chaque session.
- Un accès prestataire qui ne reste pas ouvert après la fin de l'intervention.
Choisissez-le quand
- Des opérateurs, équipes IT, prestataires ou intervenants en réponse à incident ont besoin d'un accès distant.
- Vous ne souhaitez pas qu'un VPN signifie « accès à l'ensemble du réseau ».
- Vous avez besoin de journaux et de preuves pour les contrôles NIS2, CMMC ou NIST.
Multi-Site Mesh (plusieurs sites)
Plusieurs Access Gates se connectent entre eux via des liaisons chiffrées. Chaque site conserve son réseau inchangé, et des machines ou services sélectionnés deviennent accessibles depuis d'autres sites, selon l'identité et la politique.
Machines site A ← Access Gate A ←→ Access Gate B → Machines site B
Le problème qu'il résout
Les entreprises multi-sites se retrouvent souvent avec des VPN site à site à plat, une ingénierie réseau complexe et des contrôles différents sur chaque site. Le maillage apporte :
- Zero Trust entre sites : Alice sur le site A accède à un CNC spécifique sur le site B, vérifié par identité, sans accès à quoi que ce soit d'autre. Voir Partage d'entités entre sites.
- Les mêmes règles de sécurité sur chaque site.
- Un déploiement plus rapide.
- Un ensemble unique de journaux et de documentation pour les auditeurs.
Utilisations typiques
- Une équipe d'ingénierie centrale a besoin d'un accès contrôlé aux machines de plusieurs sites industriels.
- Des services partagés (historiens, serveurs de correctifs, sauvegarde, supervision) doivent être accessibles en toute sécurité.
- Fusions ou entreprises multi-entités, où les réseaux restent séparés mais les équipes doivent collaborer.
- Vous souhaitez que l'accès soit décidé par politique, et non par le routage réseau.
Prérequis : la fonctionnalité Site Mesh. Voir Partage d'entités entre sites.