Zjištění PLC selhává přes VPN? Ponechte Ethernet u stroje

Vaše tlačítko zjišťování se točí donekonečna, nic nenajde a v tiketu stojí, že je stroj offline. Stroj je v pořádku. To, čím nástroj na tom segmentu hledá zařízení, nepřežije cestu, která mu byla dána, a reflexem je natáhnout zákazníkův Ethernet přes spojení lokality, aby tlačítko zase fungovalo. Nejprve určete závislost. Většina nástrojů údržby potřebuje trasu; když některý skutečně potřebuje kabel, trvalou odpovědí je spravovaný host vedle stroje, ne přemostěná síť mezi dvěma budovami.

Proč zjišťování umírá na okraji směrovaného tunelu

Směrovaný tunel přenáší unicast pakety mezi podsítěmi. Broadcastové a multicastové rámce zůstávají v jedné broadcastové doméně a koncový bod VPN je přesně tam, kde tato doména končí. Nástroj, který zařízení nachází tím, že do segmentu křičí, dostane ticho, protože křik nebyl nikdy předán.

Totéž platí pro protokoly, které vůbec nejsou IP, a pro rámce výrobců, jež jezdí přímo po Ethernetu. Ty nelze směrovat žádnou konfigurací, a proto přidání tras a pravidel firewallu k problému se zjišťováním často nepřinese žádnou změnu.

Všimněte si, co v tom stavu stále funguje. Ping na známou adresu a unicast připojení ke známému portu obvykle uspějí, protože to jsou části, pro které byl tunel postaven. Tato kombinace, dostupná podle adresy, ale neviditelná pro zjišťování, je znakem chybějící broadcastové domény, nikoli rozbité sítě.

Pojmenujte závislost dřív, než zvolíte transport

Přečtěte si dokumentaci nástroje o tom, jak nachází zařízení a jak s nimi mluví, a pak to porovnejte s touto tabulkou.

Pokud všechny požadavky vašeho případu leží v prvním řádku, zastavte se zde a opravte směrování. Je to levnější a mnohem snáze kontrolovatelná změna než jakákoli práce s topologií a udrží relaci údržby uvnitř přístupové cesty, kterou zákazník již schválil.

Multicastové zjišťování stojí v nepříjemném středu. Reflektor nebo opakovač může část z něj předat přes podsítě, což tlačítko rozchodí a tiše rozšíří to, kam se vzdálená strana dostane. Berte to jako záměrný návrh s vlastníkem, ne jako užitečné zaškrtávací políčko.

Umístěte na segment spravovaný host a připojte se k němu

Vzor, který přežije audit, není okázalý. Zákazníkem schválená inženýrská pracovní stanice je připojena k segmentu údržby stroje a technik se k této stanici připojuje schváleným kanálem vzdáleného přístupu. Nástroj běží tam, kde je kabel; člověk běží odtud, kde právě je.

Nic z domácí sítě technika se pak nestane součástí Ethernetu stroje a mezi dvěma lokalitami, které nikdy nesouhlasily se sdílením domény poruch, nevznikne žádný most.

Držte místní doménu tak malou, jak práce dovolí. Jedna VLAN údržby s jedním spravovaným hostem má omezený rozsah broadcastu, omezenou doménu smyček a poruchu, která zůstane uvnitř závodu, místo aby se ve tři ráno šířila po WAN spoji.

Dejte tomu hostu jeden úkol, vlastníka a auditní stopu

Pojmenujte vlastníka, vypište povolený software, definujte, jak se záplatuje, a zaznamenejte, kteří uživatelé se k němu dostanou. Držte pracovní soubory a přihlašovací údaje navázané na správného zákazníka, protože sdílený inženýrský notebook, který navštívil šest lokalit, je problém hranice dat čekající na objevení.

Pak se podívejte na kanály, které lidé zapomínají. Synchronizace schránky, přenos souborů, mapované disky a sdílení adaptéru všechny přenášejí data přes hranici a relace vzdálené obrazovky nic z toho nedělá zdarma. Rozhodněte o každém výslovně pro tuto práci, místo abyste dědili, co klient standardně nastavuje. Do toho rozhodnutí patří i zákazníkovo změnové okno, protože dostupnost není totéž jako povolení jednat.

Co se týče politického rámce, dokument NIST SP 800-82r3 pojímá vzdálenou údržbu jako řízený přístup k provoznímu systému, kde se konektivita a důsledky pro zařízení posuzují společně.

Posuzujte rozšíření L2 jako samostatný návrh

Pokud někdo stále chce natažený Ethernet, posuzujte to jako samostatný projekt s vlastními riziky. Ptejte se, jak vypadá sloučená broadcastová doména a doména spanning tree, jak se spravuje adresování mezi dvěma organizacemi, co se stane, když jedna strana zacyklí, a kdo schvaluje změny na každém konci. Úspěšný laboratorní test neodpovídá na žádnou z těchto otázek a rozhodně neověřuje kompatibilitu zařízení, propustnost ani obnovu po výpadku spoje.

Přijměte vzor místního hostu tím, že prokážete tři věci: nástroj provádí operaci, pro kterou existuje, vzdálený uživatel je pro tuto práci oprávněn a zakázané systémy zůstávají z toho hostu nedostupné. Poté na dohodnutém konci práce odeberte dočasný přístup a potvrďte, že zmizel.

Zákazníkovi tak zůstane kontrolované místo pro místní údržbu, což je menší slib než sloučená síť a mnohem snáze se dodržuje.