Откриването на PLC се проваля през VPN? Оставете Ethernet при машината

Бутонът за откриване се върти безкрайно, не намира нищо, а в заявката пише, че машината е офлайн. Машината е наред. Това, с което инструментът намира устройства в този сегмент, не оцелява по пътя, който му е даден, и рефлексът е да разтегнете Ethernet на клиента през канала на обекта, за да проработи бутонът отново. Първо изяснете зависимостта. Повечето инструменти за поддръжка се нуждаят от маршрут; когато някой наистина се нуждае от кабела, трайният отговор е управляван хост до машината, а не мостова мрежа между две сгради.

Защо откриването умира в края на маршрутизиран тунел

Маршрутизираният тунел пренася unicast пакети между подмрежи. Кадрите за broadcast и multicast остават в един broadcast домейн, а крайната точка на VPN е точно там, където този домейн свършва. Инструмент, който намира устройства, като вика в сегмента, получава тишина, защото викът никога не е бил препратен.

Същото важи за протоколи, които изобщо не са IP, и за кадри на производителя, които вървят директно по Ethernet. Те не могат да бъдат маршрутизирани с никаква конфигурация, затова добавянето на маршрути и правила на защитната стена към проблем с откриването често не променя нищо.

Забележете какво още работи в това състояние. Ping до известен адрес и unicast връзка към известен порт обикновено успяват, защото това са частите, за които е построен тунелът. Тази комбинация — достъпна по адрес, но невидима за откриване — е признак за липсващ broadcast домейн, а не за счупена мрежа.

Назовете зависимостта, преди да изберете транспорт

Прочетете документацията на инструмента за това как намира устройства и говори с тях, след което го сравнете с тази таблица.

Ако всяко изискване във вашия случай е в първия ред, спрете тук и оправете маршрутизацията. Това е по-евтина и много по-лесна за преглед промяна от всяка работа по топологията и държи сесията за поддръжка в рамките на пътя за достъп, който клиентът вече е одобрил.

Multicast откриването стои в неудобна среда. Отражател или повторител може да препрати част от него през подмрежи, което кара бутона да работи и тихо разширява това, до което отдалечената страна може да достигне. Отнасяйте се към това като към съзнателен дизайн с собственик, а не като към полезна отметка.

Поставете управляван хост в сегмента и се свържете с него

Моделът, който издържа на одит, е непретенциозен. Одобрена от клиента инженерна работна станция е свързана към сегмента за поддръжка на машината и техникът се свързва с тази станция през одобрения канал за отдалечен достъп. Инструментът работи там, където е кабелът; човекът работи откъдето и да е.

Тогава нищо от домашната мрежа на техника не става част от Ethernet на машината и не се създава мост между два обекта, които никога не са се съгласявали да споделят домейн на отказ.

Дръжте локалния домейн колкото по-малък, колкото работата позволява. Един VLAN за поддръжка с един управляван хост има ограничен обхват на broadcast, ограничен домейн на бримки и отказ, който остава в завода, вместо да се разпространява по WAN връзка в три часа сутринта.

Дайте на този хост една задача, собственик и одитен запис

Назовете собственика, избройте разрешения софтуер, определете как се актуализира и запишете кои потребители могат да достигнат до него. Дръжте работните файлове и идентификационните данни свързани с правилния клиент, защото споделен инженерен лаптоп, посетил шест обекта, е проблем с границата на данните, който чака да бъде открит.

След това погледнете каналите, които хората забравят. Синхронизирането на клипборда, прехвърлянето на файлове, свързаните дискове и споделянето на адаптер всички пренасят данни през границата, а сесията за отдалечен дисплей не прави нищо от това безплатно. Решете всяко едно изрично за тази работа, вместо да наследявате това, което клиентът приема по подразбиране. Прозорецът за промени на клиента също принадлежи към това решение, защото достъпността не е същото като разрешение за действие.

Що се отнася до политическата рамка, документът на NIST SP 800-82r3 разглежда отдалечената поддръжка като контролиран достъп до операционната система, при който свързаността и последствията за оборудването се преглеждат заедно.

Прегледайте разширяването на L2 като отделен дизайн

Ако някой все още иска Ethernet да бъде разтегнат, прегледайте го като отделен проект със собствени рискове. Попитайте как изглежда обединеният broadcast домейн и домейн на spanning tree, как се управлява адресирането между две организации, какво се случва, когато едната страна се зацикли, и кой одобрява промените във всеки край. Успешен лабораторен тест не отговаря на нито един от тези въпроси и със сигурност не валидира съвместимостта на устройствата, пропускателната способност или възстановяването след отказ на връзката.

Приемете модела с локален хост, като докажете три неща: инструментът изпълнява операцията, за която съществува, отдалеченият потребител е упълномощен за тази работа и забранените системи остават недостъпни от този хост. След това отменете временния достъп в договорения край на работата и потвърдете, че го няма.

Това оставя на клиента контролирано място за извършване на локална поддръжка, което е по-малко обещание от обединена мрежа и много по-лесно за изпълнение.