Vous placez Access Gate devant vos machines en quatre étapes. Cartographiez votre réseau à partir d'une courte capture. Transformez cette carte en inventaire et en enclaves. Connectez l'appliance à côté de votre routeur. Enfin, faites-y passer le trafic avec une seule règle. Rien ne change sur les machines, et il suffit de supprimer cette règle pour tout annuler.
| Étape | Ce que vous faites | Durée |
|---|---|---|
| 1. Cartographier votre réseau | Enregistrer une capture et l'ouvrir dans l'analyseur réseau | 15 minutes |
| 2. Créer votre inventaire et vos enclaves | Nommer vos machines, décider qui y accède | 30 minutes |
| 3. Connecter Access Gate | Deux câbles, un VLAN dédié, connexion à la console | 20 minutes |
| 4. Basculer avec une seule règle | Ajouter une règle sur votre routeur | Moins d'une minute |
1. Cartographier votre réseau à partir d'une capture
Une capture (un fichier .pcap) est un enregistrement du trafic sur votre réseau. Access Gate en déduit tout le reste, sans jamais scanner vos machines.
- Enregistrez quelques minutes de production normale, jusqu'à 500 Mo. Branchez un ordinateur portable sur un port miroir (SPAN) du commutateur utilisé par vos machines, et enregistrez avec Wireshark ou
tcpdump. Utilisez le commutateur des machines plutôt que l'uplink du cœur de réseau : il y a moins de trafic, et la carte est plus nette. Le guide de capture contient les commandes exactes. - Ouvrez la capture dans l'analyseur réseau. Il s'exécute dans votre navigateur : le fichier ne quitte jamais votre poste. Vous voyez chaque machine, qui communique avec qui, où l'IT accède à l'OT, et les zones proposées.
- Exportez la carte : Export, puis Everything. Elle contient la liste de vos machines et les zones proposées, pas votre trafic brut.
2. Créer votre inventaire et vos enclaves
Deux éléments déterminent ce qu'Access Gate protège :
- L'inventaire est la liste de vos machines, chacune avec un nom reconnaissable : PLC Ligne 2, HMI Conditionnement.
- Une enclave est un groupe de machines ainsi que les personnes et systèmes autorisés à y accéder : cellule Ligne 2, systèmes CUI.
Si nous avons préchargé votre appliance, les deux sont déjà en place. Sinon, connectez d'abord le câble d'administration (étape 3) et créez-les dans la console en quelques clics. Access Gate voit vos machines grâce à une copie du trafic (port miroir, ou NetFlow depuis votre routeur). Voir Configurer le port de surveillance.
- Monitor affiche chaque machine détectée par Access Gate. Enregistrez chacune dans Assets avec Create Asset : donnez-lui un nom et son adresse IP.
- Dans Enclaves → Create Enclave, nommez l'enclave et cliquez sur Save.
- Ouvrez l'enclave, cliquez sur Edit Principals, et ajoutez ses machines ainsi que les utilisateurs ou groupes qui en ont besoin.
- Dans le tableau, pour chaque accès à autoriser, cliquez sur la tuile Blocked correspondante et activez-la. Tout le reste demeure bloqué.
Pour plus de détails : Construire votre inventaire d'actifs et Protéger une machine avec une enclave.
3. Connecter Access Gate
Access Gate se place à côté de votre routeur ou commutateur, pas au milieu de votre réseau. Le brancher ne change rien pour vos machines.
Vous avez besoin de deux câbles et de deux ports libres sur votre routeur ou commutateur :
- Câble d'administration : depuis votre réseau d'administration vers le port admin d'Access Gate (généralement le port 5). C'est par là que vous accédez à la console.
- Câble de protection : depuis un petit VLAN ou sous-réseau dédié, par exemple
100.65.0.0/29, vers le port de protection d'Access Gate (généralement le port 1). Attribuez100.65.0.1à votre routeur sur ce réseau, et100.65.0.6à Access Gate. - Ajoutez une route sur votre routeur : envoyez
100.64.0.0/16vers100.65.0.6. C'est dans cette plage qu'Access Gate attribue à chaque machine son adresse jumelle. Comme elle n'est pas encore utilisée, cela ne change rien.
Ouvrez ensuite la console :
- Accédez à
https://suivi de l'adresse du port admin. Ce port obtient une adresse de votre réseau d'administration par DHCP, ou prend10.0.0.1au bout d'une minute environ s'il n'en reçoit aucune. - Acceptez l'avertissement de certificat, puis connectez-vous avec
admin/hello. - Dans Settings → Accounts, changez le mot de passe administrateur et créez votre propre utilisateur.
- Vérifiez Assets et Enclaves : votre inventaire et vos enclaves de l'étape 2 sont présents.
Le détail des menus pour votre équipement : Cisco Catalyst, Cisco Meraki, Fortinet FortiGate, Ubiquiti UniFi, MikroTik.
4. Basculer avec une seule règle
Faites maintenant transiter le trafic de vos machines par Access Gate. Une seule règle sur votre routeur suffit pour un sous-réseau ou un VLAN entier : tout le trafic provenant de ce sous-réseau passe d'abord par Access Gate.
! Cisco example: everything from the machine subnet 192.168.1.0/24 goes to the gate
ip access-list extended MACHINES
permit ip 192.168.1.0 0.0.0.255 any
route-map TO-ACCESS-GATE permit 10
match ip address MACHINES
set ip next-hop 100.65.0.6
interface Vlan1
ip policy route-map TO-ACCESS-GATE
Les machines conservent leur adresse, leur passerelle et leurs paramètres. Rien n'est installé sur elles.
Vérifiez que tout fonctionne. Depuis une machine, joignez un équipement avec lequel elle communique habituellement, exactement comme avant. Dans la console, le flux apparaît désormais sous son enclave.
Pour revenir en arrière, supprimez la règle. Le trafic reprend aussitôt son chemin habituel.
Chez un grand fabricant en Caroline du Nord, une ligne de production en marche est passée derrière Access Gate de cette façon, en moins d'une minute, avec une seule règle sur le commutateur Cisco déjà en place. La production ne s'est pas arrêtée.
Lorsque la simulation affiche les règles attendues, approuvez-les. Access Gate bloque alors tout ce que vous n'avez pas autorisé.
Ce que vous avez maintenant
- Un inventaire de toutes les machines du réseau, chacune avec son nom.
- Des enclaves qui définissent qui accède à quelle machine.
- Tous les flux de ce sous-réseau passent par Access Gate et sont journalisés, sans aucune modification des machines.
Étapes suivantes
- Vos trois premières semaines : ajout d'utilisateurs, accès à distance des prestataires et rapports d'audit.
- Exiger une authentification avant tout accès à une machine.
- D'autres façons de connecter vos machines, si vous ne pouvez pas ajouter de règle sur votre routeur.
Dépannage
La console ne s'ouvre pas
- Vérifiez les deux câbles et les voyants de liaison.
- Utilisez https://, pas http://.
- Trouvez l'adresse du port admin dans vos baux DHCP, ou essayez
10.0.0.1. - Assurez-vous qu'aucun pare-feu ne bloque le port 443 entre vous et le réseau d'administration.
Aucune machine n'apparaît dans Monitor
- Vérifiez que le port de surveillance reçoit bien une copie du trafic (port miroir, ou NetFlow depuis votre routeur).
- Vérifiez que le miroir couvre les deux sens et un VLAN où des machines sont actives.
- Consultez Settings → Logs pour repérer d'éventuelles erreurs.
Un flux n'apparaît pas après l'ajout de la règle
- Vérifiez que la règle correspond au bon sous-réseau et pointe vers
100.65.0.6. - Vérifiez que la route
100.64.0.0/16de l'étape 3 est en place : les réponses en ont besoin pour revenir. - Vérifiez que le pare-feu de la machine, si elle en a un, autorise l'adresse d'Access Gate.