PLC kəşfi VPN üzərindən uğursuz olur? Ethernet-i maşının yanında saxlayın
Texniki xidmət alətlərinə marşrut lazımdır, körpülənmiş Ethernet seqmenti yox. Seqmentə idarə olunan host qoyun və LAN-ı uzatmaq əvəzinə həmin hostu idarə edin.
Kəşf düyməniz sonsuza qədər fırlanır, heç nə tapmır və biletdə maşının oflayn olduğu yazılır. Maşın qaydasındadır. Alətin həmin seqmentdə cihazları tapmaq üçün istifadə etdiyi vasitə ona verilən yoldan keçmir və refleks düymənin yenidən işləməsi üçün müştərinin Ethernet-ini sayt bağlantısı boyunca uzatmaqdır. Əvvəlcə asılılığı müəyyənləşdirin. Əksər texniki xidmət alətlərinə marşrut lazımdır; biri həqiqətən kabelə ehtiyac duyanda davamlı cavab iki bina arasında körpülənmiş şəbəkə deyil, maşının yanında yerləşən idarə olunan hostdur.
Kəşf niyə marşrutlaşdırılmış tunelin kənarında ölür
Marşrutlaşdırılmış tunel subşəbəkələr arasında unicast paketlər daşıyır. Yayım və multicast çərçivələri bir yayım domeninin içində qalır və VPN son nöqtəsi məhz həmin domenin bitdiyi yerdir. Cihazları seqmentə qışqıraraq tapan alət sükut eşidir, çünki qışqırıq heç vaxt ötürülməyib.
Eyni şey ümumiyyətlə IP olmayan protokollara və birbaşa Ethernet üzərində gedən istehsalçı çərçivələrinə də aiddir. Bunları heç bir konfiqurasiya ilə marşrutlaşdırmaq mümkün deyil, buna görə kəşf probleminə marşrutlar və firewall qaydaları əlavə etmək çox vaxt heç nəyi dəyişmir.
O vəziyyətdə nəyin hələ işlədiyinə diqqət yetirin. Məlum ünvana ping və məlum porta unicast bağlantı adətən uğurlu olur, çünki bunlar tunelin tikildiyi hissələrdir. Ünvanla əlçatan, lakin kəşf üçün görünməz olan bu kombinasiya pozulmuş şəbəkənin deyil, çatışmayan yayım domeninin əlamətidir.
Nəqliyyat seçməzdən əvvəl asılılığı adlandırın
Alətin cihazları necə tapdığını və onlarla necə danışdığını onun sənədlərində oxuyun, sonra bunu bu cədvəllə müqayisə edin.
| What the tool needs | Routed tunnel enough | Local segment needed |
|---|---|---|
| Unicast to a known address, such as a web interface or Modbus TCP on 502 | Yes | No |
| Broadcast or multicast discovery of unknown devices | No | Yes |
| Non-IP or vendor-specific Layer 2 frames | No | Yes |
| A tool bound to one adapter or licence keyed to a MAC address | Usually no | Usually yes |
Əgər sizin halınızda hər tələb birinci sətirdədirsə, burada dayanın və marşrutlaşdırmanı düzəldin. Bu, istənilən topologiya işindən daha ucuz və daha asan nəzərdən keçirilən dəyişiklikdir və texniki xidmət sessiyasını müştərinin artıq təsdiqlədiyi giriş yolunun içində saxlayır.
Multicast kəşfi narahat bir ortada dayanır. Reflektor və ya təkrar ötürücü onun bir hissəsini subşəbəkələr arasında ötürə bilər, bu da düyməni işlədir və uzaq tərəfin çata bildiyi yerləri səssizcə genişləndirir. Buna sahibi olan qəsdən hazırlanmış dizayn kimi yanaşın, faydalı bir seçim qutusu kimi deyil.
Seqmentə idarə olunan host qoyun və ona uzaqdan qoşulun
Auditdən keçən naxış təmtəraqlı deyil. Müştərinin təsdiqlədiyi mühəndis iş stansiyası maşının texniki xidmət seqmentinə qoşulur və texnik həmin iş stansiyasına təsdiqlənmiş uzaq giriş kanalı vasitəsilə qoşulur. Alət kabelin olduğu yerdə işləyir; insan harada olursa olsun oradan işləyir.
Onda texnikin ev şəbəkəsinin heç bir hissəsi maşının Ethernet-inin tərkibinə çevrilmir və heç vaxt uğursuzluq domenini paylaşmağa razılaşmayan iki sayt arasında körpü yaranmır.
Lokal domeni işin icazə verdiyi qədər kiçik saxlayın. Bir idarə olunan hostu olan bir texniki xidmət VLAN-ının məhdud yayım əhatəsi, məhdud dövrə domeni var və uğursuzluq səhər saat üçdə WAN bağlantısı üzərindən yayılmaq əvəzinə zavodun içində qalır.
Həmin hosta bir vəzifə, sahib və audit izi verin
Sahibi adlandırın, icazə verilən proqram təminatını sadalayın, onun necə yamaqlandığını müəyyənləşdirin və hansı istifadəçilərin ona çata biləcəyini qeyd edin. İş fayllarını və etimadnamələri düzgün müştəriyə bağlı saxlayın, çünki altı saytda olmuş paylaşılan mühəndis noutbuku aşkar edilməyi gözləyən məlumat sərhədi problemidir.
Sonra insanların unutduğu kanallara baxın. Bufer mübadiləsi sinxronizasiyası, fayl ötürülməsi, xəritələnmiş disklər və adapter paylaşımı hamısı məlumatı sərhəd boyunca hərəkət etdirir və uzaq ekran sessiyası bunların heç birini pulsuz etmir. Hər birinə bu iş üçün açıq şəkildə qərar verin, müştərinin susmaya görə təyin etdiyini miras almaq əvəzinə. Müştərinin dəyişiklik pəncərəsi də bu qərara aiddir, çünki əlçatanlıq hərəkət etmək icazəsi ilə eyni şey deyil.
Siyasət çərçivəsinə gəldikdə, NIST-in SP 800-82r3 sənədi uzaqdan texniki xidməti əməliyyat sistemi üçün nəzarət olunan giriş kimi qəbul edir, burada bağlantı və avadanlıq nəticələri birlikdə nəzərdən keçirilir.
L2 uzadılmasını ayrıca dizayn kimi nəzərdən keçirin
Kimsə hələ də Ethernet-in uzadılmasını istəyirsə, ona öz riskləri olan ayrıca layihə kimi baxın. Birləşmiş yayım və spanning-tree domeninin necə göründüyünü, iki təşkilat arasında ünvanlamanın necə idarə olunduğunu, bir tərəfdə dövrə yarandıqda nə baş verdiyini və hər tərəfdə dəyişiklikləri kimin təsdiqlədiyini soruşun. Uğurlu laboratoriya testi bu sualların heç birinə cavab vermir və o, cihaz uyğunluğunu, ötürmə qabiliyyətini və ya bağlantı nasazlığından sonra bərpanı qətiyyən təsdiqləmir.
Lokal host naxışını üç şeyi sübut edərək qəbul edin: alət mövcud olduğu əməliyyatı yerinə yetirir, uzaq istifadəçi bu iş üçün səlahiyyətlidir və rədd edilmiş sistemlər həmin hostdan əlçatmaz qalır. Sonra işin razılaşdırılmış sonunda müvəqqəti girişi ləğv edin və onun getdiyini təsdiqləyin.
Bu, müştəriyə lokal texniki xidmət üçün nəzarət olunan yer qoyur ki, bu da birləşdirilmiş şəbəkədən daha kiçik və yerinə yetirilməsi qat-qat asan olan vəddir.