Ĉu PLC-malkovro malsukcesas tra VPN? Tenu Ethernet apud la maŝino

Via malkovra butono turniĝas senfine, trovas nenion, kaj la bileto diras, ke la maŝino estas senkonekta. La maŝino estas en ordo. Tio, kion la ilo uzas por lokalizi aparatojn en tiu segmento, ne postvivas la itineron donitan al ĝi, kaj la reflekso estas streĉi la Ethernet de la kliento trans la ejan ligilon por ke la butono denove funkciu. Unue klarigu la dependon. Plej multaj prizorgaj iloj bezonas itineron; kiam iu vere bezonas la kablon, la daŭra respondo estas administrita gastiganto apud la maŝino anstataŭ pontita reto inter du konstruaĵoj.

Kial malkovro mortas ĉe la rando de enkursigita tunelo

Enkursigita tunelo portas unicast-pakaĵojn inter subretoj. Dissendaj kaj multicast-kadroj restas en unu dissenda domajno, kaj la VPN-finpunkto estas ĝuste tie, kie tiu domajno finiĝas. Ilo, kiu trovas aparatojn per kriado en la segmenton, ricevas silenton, ĉar la krio neniam estis plusendita.

La samo validas por protokoloj, kiuj tute ne estas IP, kaj por kadroj de vendistoj, kiuj veturas rekte sur Ethernet. Tiujn oni ne povas enkursigi per iu ajn agordo, kaj tial aldoni itinerojn kaj fajroŝirmilajn regulojn al malkovra problemo ofte tute ne ŝanĝas ion.

Rimarku, kio ankoraŭ funkcias en tiu stato. Ping al konata adreso kaj unicast-konekto al konata pordo kutime sukcesas, ĉar tiuj estas la partoj por kiuj la tunelo estis konstruita. Tiu kombinaĵo, atingebla per adreso sed nevidebla al malkovro, estas la signo de mankanta dissenda domajno, ne de difektita reto.

Nomu la dependon antaŭ ol elekti transporton

Legu la dokumentaron de la ilo pri tio, kiel ĝi trovas aparatojn kaj parolas kun ili, poste komparu tion kun ĉi tiu tabelo.

Se ĉiu postulo en via kazo staras en la unua vico, haltu ĉi tie kaj riparu la enkursigon. Tio estas pli malmultekosta kaj multe pli facile revizienda ŝanĝo ol iu ajn topologia laboro, kaj ĝi tenas la prizorgan sesion ene de la alirvojo, kiun la kliento jam aprobis.

Multicast-malkovro sidas en malfacila mezo. Reflektilo aŭ ripetilo povas plusendi parton de ĝi trans subretojn, kio funkciigas la butonon kaj kviete larĝigas tion, kion la malproksima flanko povas atingi. Traktu tion kiel intencan dezajnon kun posedanto, ne kiel helpeman markobutonon.

Metu administritan gastiganton sur la segmenton kaj aliru ĝin distance

La ŝablono, kiu postvivas revizion, estas nebrila. Klient-aprobita inĝeniera laborejo estas alkroĉita al la prizorga segmento de la maŝino, kaj la teknikisto konektas al tiu laborejo tra la aprobita fora alirkanalo. La ilo ruliĝas tie, kie estas la kablo; la persono ruliĝas de kie ajn ĝi estas.

Tiam nenio el la hejma reto de la teknikisto fariĝas parto de la Ethernet de la maŝino, kaj neniu ponto kreiĝas inter du ejoj, kiuj neniam konsentis dividi fiaskan domajnon.

Tenu la lokan domajnon tiel malgranda, kiel la tasko permesas. Unu prizorga VLAN kun unu administrita gastiganto havas limigitan dissendan amplekson, limigitan buklan domajnon, kaj fiaskon, kiu restas ene de la uzino anstataŭ disvastiĝi tra WAN-ligilo je la tria matene.

Donu al tiu gastiganto unu taskon, posedanton kaj revizian spuron

Nomu la posedanton, listigu la permesitan programaron, difinu kiel ĝi estas flikita, kaj registru, kiuj uzantoj rajtas atingi ĝin. Tenu laborajn dosierojn kaj akreditaĵojn ligitaj al la ĝusta kliento, ĉar komuna inĝeniera tekkomputilo, kiu vizitis ses ejojn, estas datenlima problemo atendanta malkovron.

Poste rigardu la kanalojn, kiujn homoj forgesas. Poŝmemora sinkronigo, dosiera translokigo, mapitaj diskoj kaj adaptila kunhavigo ĉiuj movas datumojn trans la limon, kaj fora ekrana sesio faras neniun el ili senpage. Decidu ĉiun aparte por ĉi tiu tasko anstataŭ heredi tion, kion la kliento defaŭlte faras. La ŝanĝfenestro de la kliento ankaŭ apartenas al tiu decido, ĉar atingeblo ne samas kiel permeso agi.

Koncerne la politikan kadron, la dokumento de NIST SP 800-82r3 traktas foran prizorgon kiel kontrolitan aliron al la operacia sistemo, kie konektebleco kaj sekvoj por la ekipaĵo estas reviziataj kune.

Revizuu L2-etendigon kiel propran dezajnon

Se iu ankoraŭ volas la streĉitan Ethernet, revizuu ĝin kiel apartan projekton kun propraj riskoj. Demandu, kiel aspektas la kombinita dissenda kaj etendarba domajno, kiel adresado estas administrata inter du organizoj, kio okazas, kiam unu flanko buklas, kaj kiu aprobas ŝanĝojn ĉe ĉiu fino. Sukcesa laboratoria provo respondas neniun el tiuj demandoj, kaj ĝi certe ne validigas aparatan kongruecon, trairon aŭ reakiron post ligila fiasko.

Akceptu la lokan-gastigantan ŝablonon pruvante tri aferojn: la ilo plenumas la operacion, por kiu ĝi ekzistas, la fora uzanto estas rajtigita por ĉi tiu tasko, kaj rifuzitaj sistemoj restas neatingeblaj de tiu gastiganto. Poste revoku la provizoran aliron ĉe la interkonsentita fino de la tasko, kaj konfirmu, ke ĝi malaperis.

Tio lasas al la kliento kontrolitan lokon por fari lokan prizorgon, kio estas pli malgranda promeso ol kunigita reto kaj multe pli facila plenumebla.