PLC-opdagelse fejler over en VPN? Behold Ethernet ved maskinen

Din opdagelsesknap snurrer i det uendelige, finder intet, og sagen siger, at maskinen er offline. Maskinen har det fint. Det, værktøjet bruger til at finde enheder på segmentet, overlever ikke den vej, den har fået, og refleksen er at strække kundens Ethernet over siteforbindelsen, så knappen virker igen. Fastlæg afhængigheden først. De fleste vedligeholdelsesværktøjer har brug for en rute; når et virkelig har brug for kablet, er det holdbare svar en administreret vært ved siden af maskinen i stedet for et brodannet netværk mellem to bygninger.

Hvorfor opdagelse dør ved kanten af en rutet tunnel

En rutet tunnel bærer unicast-pakker mellem undernet. Broadcast- og multicast-rammer bliver inde i ét broadcast-domæne, og VPN-endepunktet er præcis der, hvor det domæne slutter. Et værktøj, der finder enheder ved at råbe ind i segmentet, får tavshed, fordi råbet aldrig blev videresendt.

Det samme gælder protokoller, der slet ikke er IP, og leverandørrammer, der kører direkte på Ethernet. Dem kan ingen konfiguration route, og derfor ændrer det ofte intet at tilføje ruter og firewallregler til et opdagelsesproblem.

Læg mærke til, hvad der stadig virker i den tilstand. Et ping til en kendt adresse og en unicast-forbindelse til en kendt port lykkes som regel, fordi det er de dele, tunnelen blev bygget til. Den kombination, nåbar via adresse men usynlig for opdagelse, er signaturen på et manglende broadcast-domæne snarere end et ødelagt netværk.

Navngiv afhængigheden, før du vælger transport

Læs værktøjets dokumentation for, hvordan det finder enheder og taler med dem, og hold det så op mod denne tabel.

Hvis hvert krav i dit tilfælde står i første række, så stop her og ret routing. Det er en billigere og langt nemmere reviderbar ændring end noget topologiarbejde, og den holder vedligeholdelsessessionen inden for den adgangsvej, kunden allerede har godkendt.

Multicast-opdagelse sidder i en akavet midterposition. En reflektor eller repeater kan videresende noget af det på tværs af undernet, hvilket får knappen til at virke og stille udvider, hvad fjernsiden kan nå. Behandl det som et bevidst design med en ejer, ikke som en hjælpsom afkrydsningsboks.

Sæt en administreret vært på segmentet, og gå ind på den

Mønstret, der overlever revision, er uglamourøst. En kundegodkendt ingeniørarbejdsstation er knyttet til maskinens vedligeholdelsessegment, og teknikeren forbinder til den arbejdsstation gennem den godkendte fjernadgangskanal. Værktøjet kører, hvor kablet er; personen kører fra, hvor end den er.

Intet af teknikerens hjemmenetværk bliver så en del af maskinens Ethernet, og der oprettes ingen bro mellem to lokaliteter, som aldrig har accepteret at dele et fejldomæne.

Hold det lokale domæne så lille, som arbejdet tillader. Én vedligeholdelses-VLAN med én administreret vært har et afgrænset broadcast-omfang, et afgrænset løkkedomæne og en fejl, der bliver inde i anlægget i stedet for at brede sig over en WAN-forbindelse klokken tre om natten.

Giv den vært én opgave, en ejer og et revisionsspor

Navngiv ejeren, oplys den tilladte software, definér, hvordan den patches, og registrér, hvilke brugere der må nå den. Hold jobfiler og legitimationsoplysninger knyttet til den rigtige kunde, for en delt ingeniørbærbar, der har besøgt seks lokaliteter, er et datagrænseproblem, der venter på at blive opdaget.

Se så på de kanaler, folk glemmer. Udklipsholdersynkronisering, filoverførsel, mappede drev og adapterdeling flytter alle data over grænsen, og en fjernskærmsession gør ingen af dem gratis. Beslut hver enkelt eksplicit for dette job i stedet for at arve, hvad klienten bruger som standard. Kundens ændringsvindue hører også med i den beslutning, fordi tilgængelighed ikke er det samme som tilladelse til at handle.

Hvad angår policyrammen, behandler NIST-dokumentet SP 800-82r3 fjernvedligeholdelse som kontrolleret adgang til driftssystemet, hvor forbindelse og udstyrskonsekvenser gennemgås samlet.

Vurdér en L2-udvidelse som sit eget design

Hvis nogen stadig vil have Ethernet strækket, så vurdér det som et separat projekt med sine egne risici. Spørg, hvordan det kombinerede broadcast- og spanning tree-domæne ser ud, hvordan adressering styres på tværs af to organisationer, hvad der sker, når den ene side looper, og hvem der godkender ændringer i hver ende. En vellykket labtest besvarer ingen af de spørgsmål og validerer bestemt ikke enhedskompatibilitet, gennemstrømning eller gendannelse efter en linkfejl.

Accepter lokalt-vært-mønstret ved at bevise tre ting: værktøjet udfører den handling, det findes for, fjernbrugeren er autoriseret til dette job, og afviste systemer forbliver unåelige fra den vært. Tilbagekald derefter den midlertidige adgang ved det aftalte slutpunkt for jobbet, og bekræft, at den er væk.

Det efterlader kunden med et kontrolleret sted at udføre lokal vedligeholdelse, hvilket er et mindre løfte end et sammenlagt netværk og et langt lettere at holde.