Пошук PLC праз VPN не працуе? Пакіньце Ethernet каля станка

Кнопка пошуку круціцца бясконца, нічога не знаходзіць, а ў заяўцы сказана, што станок не ў сетцы. Са станком усё ў парадку. Тое, чым інструмент вызначае прылады на гэтым сегменце, не пераадольвае шлях, які яму далі, і рэфлекс — расцягнуць Ethernet заказчыка праз канал пляцоўкі, каб кнопка зноў запрацавала. Спачатку вызначце залежнасць. Большасці інструментаў абслугоўвання патрэбны маршрут; калі ж некаму сапраўды патрэбен кабель, трывалы адказ — кіраваны хост побач са станком, а не сетка з мастом паміж двума будынкамі.

Чаму пошук памірае на краі маршрутызаванага тунеля

Маршрутызаваны тунель пераносіць unicast-пакеты паміж падсеткамі. Кадры шырокавяшчальнай і multicast-перадачы застаюцца ў адным шырокавяшчальным дамене, і канцавы пункт VPN — менавіта там, дзе гэты дамен сканчаецца. Інструмент, які знаходзіць прылады, крычачы ў сегмент, атрымлівае цішыню, бо крык ніколі не перадаваўся.

Тое ж тычыцца пратаколаў, якія зусім не з'яўляюцца IP, і кадраў вытворцы, што ідуць непасрэдна па Ethernet. Іх немагчыма маршрутызаваць ніякай канфігурацыяй, таму даданне маршрутаў і правілаў міжсеткавага экрана да праблемы пошуку часта не дае ніякіх змен.

Звярніце ўвагу, што яшчэ працуе ў такім стане. Ping на вядомы адрас і unicast-злучэнне з вядомым портам звычайна ўдаюцца, бо гэта менавіта тыя часткі, для якіх будаваўся тунель. Гэтая камбінацыя — дасягальнасць па адрасе, але нябачнасць для пошуку — прыкмета адсутнага шырокавяшчальнага дамена, а не зламанай сеткі.

Назавіце залежнасць перад выбарам транспарту

Прачытайце дакументацыю інструмента пра тое, як ён знаходзіць прылады і размаўляе з імі, а затым супастаўце гэта з гэтай табліцай.

Калі ўсе патрабаванні вашага выпадку ў першым радку, спыніцеся тут і выпраўце маршрутызацыю. Гэта больш таннае і значна прасцейшае для праверкі змяненне, чым любая праца з тапалогіяй, і яно трымае сеанс абслугоўвання ў межах шляху доступу, які заказчык ужо ўхваліў.

Multicast-пошук займае нязручнае сярэдняе месца. Адбівальнік або паўтаральнік можа перадаць частку яго праз падсеткі, што прымушае кнопку працаваць і ціха пашырае тое, да чаго можа дабрацца аддалены бок. Стаўцеся да гэтага як да свядомага рашэння з уласнікам, а не як да карыснай галачкі.

Пастаўце кіраваны хост на сегмент і падключыцеся да яго

Схема, якая вытрымлівае аўдыт, непрыгожая. Інжынерная працоўная станцыя, ухваленая заказчыкам, падключаецца да сегмента абслугоўвання станка, а тэхнік падключаецца да гэтай станцыі праз ухвалены канал аддаленага доступу. Інструмент працуе там, дзе кабель; чалавек працуе адтуль, дзе ён знаходзіцца.

Тады нішто з хатняй сеткі тэхніка не становіцца часткай Ethernet станка, і не ўзнікае моста паміж двума пляцоўкамі, якія ніколі не дамаўляліся дзяліць дамен адмоваў.

Трымайце лакальны дамен настолькі малым, наколькі дазваляе праца. Адзін VLAN абслугоўвання з адным кіраваным хостам мае абмежаваны ахоп шырокавяшчальнай перадачы, абмежаваны дамен завес і адмову, якая застаецца ўнутры завода, а не распаўсюджваецца праз канал WAN у тры гадзіны ночы.

Дайце гэтаму хосту адну задачу, ўласніка і след аўдыту

Назавіце ўласніка, пералічыце дазволенае праграмнае забеспячэнне, вызначце, як яно абнаўляецца, і запішыце, якія карыстальнікі могуць да яго дабрацца. Трымайце працоўныя файлы і ўліковыя дадзеныя прывязанымі да правільнага заказчыка, бо агульны інжынерны ноўтбук, які наведаў шэсць пляцовак, — гэта праблема мяжы даных, якая чакае выяўлення.

Затым паглядзіце на каналы, якія людзі забываюць. Сінхранізацыя буфера абмену, перадача файлаў, падключаныя дыскі і сумеснае выкарыстанне адаптара — усё гэта рухае даныя праз мяжу, а сеанс аддаленага дысплея не робіць нічога з гэтага бясплатна. Вызначце кожны з іх яўна для гэтай працы, а не наследуйце тое, што кліент прапануе па змаўчанні. Акно змен заказчыка таксама належыць да гэтага рашэння, бо дасягальнасць не тое ж самае, што дазвол дзейнічаць.

Што да палітычных рам, дакумент NIST SP 800-82r3 разглядае аддаленае абслугоўванне як кантраляваны доступ да аперацыйнай сістэмы, дзе сувязнасць і наступствы для абсталявання разглядаюцца разам.

Разглядайце пашырэнне L2 як асобны праект

Калі хтосьці ўсё яшчэ хоча расцягнуць Ethernet, разгледзьце гэта як асобны праект з уласнымі рызыкамі. Спытайце, як выглядае аб'яднаны дамен шырокавяшчальнай перадачы і дрэва пакрыцця, як кіруецца адрасацыя паміж дзвюма арганізацыямі, што адбываецца, калі адзін бок зацыкліваецца, і хто ўхваляе змены на кожным канцы. Паспяховы лабараторны тэст не адказвае ні на адно з гэтых пытанняў і, вядома, не правярае сумяшчальнасць прылад, прапускную здольнасць або аднаўленне пасля адмовы канала.

Прыміце схему з лакальным хостам, даказаўшы тры рэчы: інструмент выконвае аперацыю, для якой існуе, аддалены карыстальнік мае паўнамоцтвы на гэтую працу, а забароненыя сістэмы застаюцца недасягальнымі з гэтага хоста. Затым адклічце часовы доступ у ўзгоджаны канец працы і пацвердзіце, што ён знік.

Гэта пакідае заказчыку кантраляванае месца для выканання лакальнага абслугоўвання, што з'яўляецца меншым абяцаннем, чым аб'яднаная сетка, і значна больш простым у выкананні.