Otkrivanje PLC-a ne uspijeva preko VPN-a? Zadržite Ethernet kod mašine

Vaše dugme za otkrivanje vrti se unedogled, ne nalazi ništa, a u ticketu piše da je mašina offline. Mašina je u redu. Ono što alat koristi da pronađe uređaje na tom segmentu ne preživljava put koji mu je dan, a refleks je razvući Ethernet kupca preko linka lokacije kako bi dugme ponovo proradilo. Prvo utvrdite zavisnost. Većini alata za održavanje treba ruta; kada nekom zaista treba kabel, trajni odgovor je upravljani host uz mašinu, a ne premoštena mreža između dvije zgrade.

Zašto otkrivanje umire na ivici rutiranog tunela

Rutirani tunel prenosi unicast pakete između podmreža. Broadcast i multicast okviri ostaju unutar jedne broadcast domene, a VPN endpoint je upravo tamo gdje ta domena završava. Alat koji pronalazi uređaje vičući u segment dobija tišinu, jer vika nikada nije proslijeđena.

Isto važi za protokole koji uopšte nisu IP, i za okvire proizvođača koji idu direktno po Ethernetu. Njih nije moguće rutirati nikakvom konfiguracijom, zbog čega dodavanje ruta i firewall pravila problemu otkrivanja često ne mijenja ništa.

Primijetite šta još radi u tom stanju. Ping na poznatu adresu i unicast veza na poznati port obično uspijevaju, jer su to dijelovi za koje je tunel napravljen. Ta kombinacija, dostupna po adresi ali nevidljiva za otkrivanje, potpis je broadcast domene koja nedostaje, a ne pokvarene mreže.

Imenujte zavisnost prije nego što odaberete transport

Pročitajte dokumentaciju alata o tome kako pronalazi uređaje i razgovara s njima, pa to uporedite s ovom tabelom.

Ako svaki zahtjev u vašem slučaju stoji u prvom redu, zaustavite se ovdje i popravite rutiranje. To je jeftinija i mnogo lakše pregledna promjena od bilo kakvog rada na topologiji, i zadržava sesiju održavanja unutar pristupnog puta koji je kupac već odobrio.

Multicast otkrivanje stoji u nezgodnoj sredini. Reflektor ili repetitor može dio toga proslijediti preko podmreža, što dugme pokrene i tiho proširi ono do čega udaljena strana može doći. Tretirajte to kao svjesnu konstrukciju s vlasnikom, a ne kao koristan kvadratić.

Postavite upravljani host na segment i povežite se na njega

Obrazac koji preživljava reviziju nije blistav. Radna stanica za inženjering koju je kupac odobrio priključena je na segment za održavanje mašine, a tehničar se povezuje na tu radnu stanicu kroz odobreni kanal za udaljeni pristup. Alat radi tamo gdje je kabel; osoba radi odakle god jest.

Tada ništa iz tehničarove kućne mreže ne postaje dio Ethernet mreže mašine, i ne stvara se most između dvije lokacije koje nikada nisu pristale dijeliti domenu kvara.

Držite lokalnu domenu što manjom koliko posao dozvoljava. Jedan VLAN za održavanje s jednim upravljanim hostom ima ograničen broadcast obim, ograničenu domenu petlji i kvar koji ostaje unutar postrojenja umjesto da se širi preko WAN linka u tri ujutro.

Dajte tom hostu jedan zadatak, vlasnika i revizijski trag

Imenujte vlasnika, navedite dozvoljeni softver, definirajte kako se zakrpa i zabilježite koji korisnici mogu do njega doći. Držite radne datoteke i akreditive vezane za pravog kupca, jer zajednički inženjerski laptop koji je posjetio šest lokacija jest problem granice podataka koji čeka da bude otkriven.

Zatim pogledajte kanale koje ljudi zaboravljaju. Sinhronizacija međuspremnika, prijenos datoteka, mapirani diskovi i dijeljenje adaptera premještaju podatke preko granice, a sesija udaljenog prikaza ne radi ništa od toga besplatno. Odlučite o svakom izričito za ovaj posao, umjesto da naslijedite šta god klijent podrazumijeva. Kupčev prozor za promjene također pripada toj odluci, jer dostupnost nije isto što i dozvola za djelovanje.

Što se tiče političkog okvira, NIST-ov SP 800-82r3 tretira udaljeno održavanje kao kontrolirani pristup operativnom sistemu, gdje se povezanost i posljedice po opremu razmatraju zajedno.

Razmotrite L2 proširenje kao zaseban dizajn

Ako neko još želi razvučen Ethernet, razmotrite to kao zaseban projekt s vlastitim rizicima. Pitajte kako izgleda spojena broadcast i spanning-tree domena, kako se upravlja adresiranjem između dvije organizacije, šta se dešava kada jedna strana uđe u petlju, i ko odobrava promjene na svakoj strani. Uspješan laboratorijski test ne odgovara ni na jedno od tih pitanja, i sigurno ne potvrđuje kompatibilnost uređaja, propusnost ili oporavak nakon kvara linka.

Prihvatite obrazac lokalnog hosta dokazujući tri stvari: alat obavlja operaciju zbog koje postoji, udaljeni korisnik je ovlašten za ovaj posao, i zabranjeni sistemi ostaju nedostupni s tog hosta. Zatim ukinite privremeni pristup na dogovorenom kraju posla i potvrdite da ga nema.

To kupcu ostavlja kontrolirano mjesto za obavljanje lokalnog održavanja, što je manje obećanje od spojene mreže i mnogo ga je lakše održati.