Démarrage rapide

Avec deux câbles Ethernet, connectez l'Access Gate à deux ports de votre routeur existant.

Première connexion : l'overlay

La première connexion crée l'overlay, la route réservée qu'empruntent ensuite les actifs pour sécuriser leurs communications. Nous recommandons :

1. Créez un réseau 100.65.0.1/29 sur votre routeur, avec la passerelle (votre routeur existant) à 100.65.0.1 et le port overlay de l'Access Gate à 100.65.0.6.
2. Ajoutez une route pour les IP de la plage 100.64.0.0/16 avec une passerelle à 100.65.0.6. Cette route achemine tous les paquets overlay vers l'Access Gate pour le proxying et le routage.
3. Connectez un câble Ethernet entre le port que vous avez configuré et le port overlay de l'Access Gate (généralement le port 1).

Cette plage réservée 100.64.0.0/16 constitue votre Secure Twin : un espace d'adressage parallèle dans lequel vous faites passer les actifs en communication sécurisée, un par un, sans aucune modification en production. Vous attribuez à chaque actif un nom DNS afin qu'il soit accessible par URL (voir Configuring Access Gate DNS).

Deuxième connexion : l'interface d'administration

La deuxième connexion rattache l'interface d'administration de l'Access Gate à votre réseau d'administration.

1. Connectez un câble Ethernet entre un port de votre routeur (ou commutateur) relié au réseau d'administration et le port admin de l'Access Gate (généralement le port 5).
2. Si ce réseau distribue des baux DHCP, l'interface d'administration reçoit une IP automatiquement. Sinon, elle prend par défaut la valeur 10.0.0.1 après environ une minute.

Ce que vous avez accompli à cette étape

Accéder à l'interface d'administration

1. Ouvrez un navigateur web et accédez à l'IP d'administration de l'Access Gate : https://{ip} (celle associée au second câble ci-dessus).
2. Acceptez l'avertissement relatif au certificat auto-signé (nous configurerons un TLS approprié ultérieurement).
3. Connectez-vous avec les identifiants par défaut : Nom d'utilisateur : admin, mot de passe : hello.

Sécuriser le compte

1. Une fois connecté, accédez à Settings → Accounts.
2. Modifiez le mot de passe administrateur.
3. Créez votre propre compte utilisateur avec les niveaux de permissions appropriés.

Vient maintenant la partie intéressante : voir ce qui se trouve réellement sur votre réseau.

L'Access Gate découvre les actifs de manière passive à partir du trafic sur le port span que vous surveillez. Il observe les flux et construit une vue en temps réel de vos équipements, de leurs protocoles et de la façon dont ils communiquent entre eux, sans aucun scan actif susceptible de perturber des équipements OT fragiles.

Enregistrer les actifs

1. Depuis l'onglet Monitor, cliquez sur Register Asset sur un équipement inconnu pour l'ajouter à votre inventaire.
2. Renseignez le nom de l'actif.
3. Accédez à l'onglet Asset pour voir l'inventaire se remplir.

Pour chaque actif, vous pouvez ajouter des informations supplémentaires (nom, numéro de série, niveau de risque, etc.) en cliquant sur l'icône crayon.

L'overlay et le Secure Twin sont déjà en place depuis l'étape 1 ; vous pouvez donc passer directement à la création de l'enclave qui protégera vos actifs sensibles.

Créer l'enclave

1. Accédez à Enclaves → Create Enclave.
2. Donnez à votre enclave un nom descriptif : Production Floor ou CUI Systems Sales Access.
3. Renseignez la Description et le Security Level.
4. Cliquez sur Save.

Ajouter des actifs et des principals

1. Accédez à votre enclave nouvellement créée via Enclaves → [Your Enclave].
2. Ajoutez des actifs et des principals en cliquant sur Edit Principals.
3. Sélectionnez les entités que vous souhaitez gérer dans cette enclave.

À ce stade, l'enclave existe, mais vous devez encore accorder les accès.

Définissez maintenant les permissions au sein de l'enclave.

1. Dans la vue tableau, cliquez sur une tuile Blocked.
2. Utilisez le bouton bascule pour accorder l'accès.
3. Le menu déroulant Advanced donne accès à des options de contrôle d'accès plus poussées : TLS, VPN, Access Screen.
4. Cliquez sur Save.

C'est à ce moment que l'Access Gate commence à contrôler activement les accès.

Consultez Protecting an asset with enclaves pour le guide complet.

Testons l'accès à travers l'enclave et le proxy.

1. Depuis votre ordinateur, vérifiez que vous résolvez bien l'actif :

   nslookup {asset_name}.{DNS_name}
   # for example: nslookup cui_server.acme.tr-sec.net
   

1. Vérifiez que vous pouvez pinguer l'IP renvoyée.
2. Testez que le protocole prévu est accessible :

   curl http://cui_server.acme.tr-sec.net
   # for example, for an HTTP server
   

Le proxy de l'Access Gate intercepte et transfère le trafic de manière transparente en fonction des permissions.