PLC-ontdekking misluk oor 'n VPN? Hou Ethernet by die masjien

Jou ontdekkingsknoppie draai vir ewig, vind niks, en die kaartjie sê die masjien is vanlyn. Die masjien is reg. Wat die gereedskap ook al gebruik om toestelle op daardie segment op te spoor, oorleef nie die pad wat dit gegee is nie, en die refleks is om die kliënt se Ethernet oor die terreinskakel te rek sodat die knoppie weer werk. Bepaal eers die afhanklikheid. Die meeste onderhoudsgereedskap het 'n roete nodig; wanneer een werklik die draad nodig het, is die blywende antwoord 'n bestuurde gasheer langs die masjien eerder as 'n oorbrugde netwerk tussen twee geboue.

Waarom ontdekking sterf aan die rand van 'n geroteerde tonnel

'n Geroteerde tonnel dra unicast-pakkette tussen subnetwerke. Uitsaai- en multisaai-rame bly binne een uitsaai-domein, en die VPN-eindpunt is presies waar daardie domein eindig. 'n Gereedskap wat toestelle vind deur in die segment te skree, kry stilte, want die skree is nooit aangestuur nie.

Dieselfde geld vir protokolle wat glad nie IP is nie, en vir vervaardiger-rame wat direk op Ethernet ry. Dié kan deur geen konfigurasie geroteer word nie, en daarom verander dit dikwels niks om roetes en firewall-reëls by 'n ontdekkingsprobleem te voeg nie.

Let op wat in daardie toestand nog werk. 'n Ping na 'n bekende adres en 'n unicast-verbinding na 'n bekende poort slaag gewoonlik, want dit is die dele waarvoor die tonnel gebou is. Daardie kombinasie, bereikbaar per adres maar onsigbaar vir ontdekking, is die kenmerk van 'n ontbrekende uitsaai-domein eerder as van 'n stukkende netwerk.

Benoem die afhanklikheid voordat jy 'n vervoer kies

Lees die gereedskap se dokumentasie oor hoe dit toestelle vind en met hulle praat, en pas dit dan teen hierdie tabel toe.

As elke vereiste in jou geval in die eerste ry sit, stop hier en maak die roetering reg. Dit is 'n goedkoper en baie makliker hersiene verandering as enige topologiewerk, en dit hou die onderhoudssessie binne die toegangspad wat die kliënt reeds goedgekeur het.

Multisaai-ontdekking sit in 'n ongemaklike middel. 'n Reflektor of herhaler kan 'n deel daarvan oor subnetwerke aanstuur, wat die knoppie laat werk en stilweg verbreed wat die afgeleë kant kan bereik. Behandel dit as 'n doelbewuste ontwerp met 'n eienaar, nie as 'n handige merkblokkie nie.

Plaas 'n bestuurde gasheer op die segment en sluit op hom in

Die patroon wat 'n oudit oorleef, is onglamoureus. 'n Ingenieurswerkstasie wat deur die kliënt goedgekeur is, word aan die masjien se onderhoudssegment gekoppel, en die tegnikus verbind met daardie werkstasie deur die goedgekeurde afgeleë-toegangskanaal. Die gereedskap loop waar die draad is; die persoon werk van waar hulle ook al is.

Niks van die tegnikus se tuisnetwerk word dan deel van die masjien se Ethernet nie, en geen brug word tussen twee terreine geskep wat nooit ingestem het om 'n faledomein te deel nie.

Hou die plaaslike domein so klein as wat die werk toelaat. Een onderhouds-VLAN met een bestuurde gasheer het 'n begrensde uitsaaiomvang, 'n begrensde lusdomein en 'n faling wat in die aanleg bly in plaas daarvan om om drie in die oggend oor 'n WAN-skakel te versprei.

Gee daardie gasheer een taak, 'n eienaar en 'n ouditspoor

Benoem die eienaar, lys die toegelate sagteware, definieer hoe dit gepatch word en teken aan watter gebruikers dit mag bereik. Hou werkliase en geloofsbriewe aan die regte kliënt gekoppel, want 'n gedeelde ingenieurskernrekenaar wat ses terreine besoek het, is 'n datagrensprobleem wat wag om ontdek te word.

Kyk dan na die kanale wat mense vergeet. Knipbord-sinkronisering, lêeroordrag, gekoppelde skywe en adapterdeling beweeg almal data oor die grens, en 'n afgeleë vertoonsessie doen niks daarvan verniet nie. Besluit elkeen eksplisiet vir hierdie werk eerder as om te erf wat die kliënt ook al as verstek het. Die kliënt se veranderingsvenster hoort ook in daardie besluit, want bereikbaarheid is nie dieselfde as toestemming om op te tree nie.

Vir die beleidsraamwerk behandel NIST se SP 800-82r3 afgeleë onderhoud as beheerde toegang tot die operasionele stelsel, waar konnektiwiteit en toerustinggevolge saam hersien word.

Hersien 'n L2-uitbreiding as sy eie ontwerp

As iemand steeds die Ethernet wil rek, hersien dit as 'n aparte projek met sy eie risiko's. Vra hoe die gekombineerde uitsaai- en spanningboom-domein lyk, hoe adressering oor twee organisasies bestuur word, wat gebeur wanneer een kant lus, en wie veranderinge aan elke kant goedkeur. 'n Sukkelvolle laboratoriumtoets beantwoord nie een van daardie vrae nie, en dit bevestig beslis nie toestelversoenbaarheid, deurset of herstel ná 'n skakelfout nie.

Aanvaar die plaaslike-gasheerpatroon deur drie dinge te bewys: die gereedskap voer die bewerking uit waarvoor dit bestaan, die afgeleë gebruiker is vir hierdie werk gemagtig, en geweierde stelsels bly onbereikbaar vanaf daardie gasheer. Herroep dan die tydelike toegang aan die ooreengekome einde van die werk, en bevestig dat dit weg is.

Dit laat die kliënt met 'n beheerde plek om plaaslike onderhoud te doen, wat 'n kleiner belofte is as 'n saamgevoegde netwerk en een wat baie makliker nagekom kan word.