کشف PLC از طریق VPN شکست می‌خورد؟ Ethernet را کنار ماشین نگه دارید
ابزارهای نگهداری به یک مسیر نیاز دارند، نه یک بخش Ethernet پل‌شده. یک میزبان مدیریت‌شده روی بخش بگذارید و همان میزبان را کنترل کنید، نه اینکه LAN را بکشید.
دکمه کشف شما بی‌پایان می‌چرخد، چیزی پیدا نمی‌کند و تیکت می‌گوید ماشین آفلاین است. ماشین سالم است. آنچه ابزار برای یافتن دستگاه‌ها در آن بخش به کار می‌برد، از مسیری که به آن داده شده جان سالم به در نمی‌برد، و واکنش خودکار این است که Ethernet مشتری را روی لینک سایت بکشید تا دکمه دوباره کار کند. اول وابستگی را مشخص کنید. بیشتر ابزارهای نگهداری به یک مسیر نیاز دارند؛ وقتی یکی واقعاً به سیم نیاز دارد، پاسخ پایدار یک میزبان مدیریت‌شده در کنار ماشین است، نه یک شبکه پل‌شده میان دو ساختمان.
چرا کشف در لبه یک تونل مسیریابی‌شده می‌میرد
تونل مسیریابی‌شده بسته‌های unicast را میان زیرشبکه‌ها جابه‌جا می‌کند. فریم‌های پخش و multicast درون یک دامنه پخش می‌مانند، و نقطه پایانی VPN دقیقاً همان جایی است که آن دامنه تمام می‌شود. ابزاری که با فریاد زدن در بخش دستگاه‌ها را می‌یابد، سکوت می‌شنود، زیرا فریاد هرگز ارسال نشده است.
همین موضوع برای پروتکل‌هایی که اصلاً IP نیستند و برای فریم‌های سازنده که مستقیم روی Ethernet سوار می‌شوند نیز صادق است. این‌ها با هیچ پیکربندی مسیریابی نمی‌شوند، و به همین دلیل افزودن مسیرها و قواعد دیوار آتش به یک مشکل کشف اغلب هیچ تغییری ایجاد نمی‌کند.
توجه کنید در آن وضعیت چه چیزی هنوز کار می‌کند. ping به یک نشانی شناخته‌شده و اتصال unicast به یک پورت شناخته‌شده معمولاً موفق می‌شوند، زیرا این‌ها همان بخش‌هایی هستند که تونل برایشان ساخته شده است. این ترکیب، یعنی دسترس‌پذیر با نشانی اما نامرئی برای کشف، نشانه یک دامنه پخش گمشده است، نه یک شبکه خراب.
پیش از انتخاب روش انتقال، وابستگی را نام ببرید
مستندات ابزار را درباره اینکه چگونه دستگاه‌ها را می‌یابد و با آنها صحبت می‌کند بخوانید، سپس آن را با این جدول مقایسه کنید.
| What the tool needs | Routed tunnel enough | Local segment needed |
|---|---|---|
| Unicast to a known address, such as a web interface or Modbus TCP on 502 | Yes | No |
| Broadcast or multicast discovery of unknown devices | No | Yes |
| Non-IP or vendor-specific Layer 2 frames | No | Yes |
| A tool bound to one adapter or licence keyed to a MAC address | Usually no | Usually yes |
اگر هر نیاز در مورد شما در ردیف اول است، همین‌جا متوقف شوید و مسیریابی را درست کنید. این تغییری ارزان‌تر و بسیار آسان‌تر برای بازبینی از هر کار توپولوژی است، و جلسه نگهداری را درون مسیر دسترسی که مشتری پیش‌تر تأیید کرده نگه می‌دارد.
کشف multicast در میانه‌ای دشوار قرار دارد. یک بازتاب‌دهنده یا تکرارکننده می‌تواند بخشی از آن را میان زیرشبکه‌ها ارسال کند، که دکمه را کار می‌اندازد و بی‌صدا گسترش می‌دهد آنچه طرف دور می‌تواند به آن برسد. با آن به‌عنوان یک طراحی عامدانه با یک مالک رفتار کنید، نه به‌عنوان یک جعبه انتخاب مفید.
یک میزبان مدیریت‌شده روی بخش بگذارید و از راه دور به آن وصل شوید
الگویی که از بازرسی جان سالم به در می‌برد پرزرق‌وبرق نیست. یک ایستگاه کاری مهندسی تأییدشده توسط مشتری به بخش نگهداری ماشین متصل است، و تکنسین از طریق کانال دسترسی از راه دور تأییدشده به آن ایستگاه وصل می‌شود. ابزار همان‌جا کار می‌کند که سیم هست؛ انسان از هرجا که باشد کار می‌کند.
آن‌گاه هیچ بخشی از شبکه خانگی تکنسین جزئی از Ethernet ماشین نمی‌شود، و هیچ پلی میان دو سایتی که هرگز به اشتراک گذاشتن یک دامنه خرابی را نپذیرفته‌اند ساخته نمی‌شود.
دامنه محلی را تا جایی که کار اجازه می‌دهد کوچک نگه دارید. یک VLAN نگهداری با یک میزبان مدیریت‌شده دامنه پخش محدود، دامنه حلقه محدود و خرابی‌ای دارد که درون کارخانه می‌ماند، نه اینکه ساعت سه بامداد از لینک WAN عبور کند.
به آن میزبان یک وظیفه، یک مالک و یک ردپای بازرسی بدهید
مالک را نام ببرید، نرم‌افزار مجاز را فهرست کنید، تعریف کنید که چگونه وصله می‌شود، و ثبت کنید کدام کاربران می‌توانند به آن برسند. فایل‌های کار و اعتبارنامه‌ها را به مشتری درست گره بزنید، زیرا یک لپ‌تاپ مهندسی مشترک که شش سایت را دیده است، یک مشکل مرز داده است که در انتظار کشف شدن می‌ماند.
سپس به کانال‌هایی نگاه کنید که مردم فراموش می‌کنند. همگام‌سازی کلیپ‌بورد، انتقال فایل، درایوهای نقشه‌برداری‌شده و اشتراک آداپتور همگی داده را از مرز عبور می‌دهند، و یک جلسه نمایش از راه دور هیچ‌کدام را مجانی انجام نمی‌دهد. برای هر یک به‌صراحت برای این کار تصمیم بگیرید، نه اینکه هر پیش‌فرض کلاینت را به ارث ببرید. پنجره تغییرات مشتری نیز به آن تصمیم تعلق دارد، چون دسترس‌پذیری به معنای اجازه عمل نیست.
از نظر چارچوب سیاستی، سند NIST SP 800-82r3 نگهداری از راه دور را به‌عنوان دسترسی کنترل‌شده به سیستم عملیاتی می‌بیند، جایی که اتصال‌پذیری و پیامدهای تجهیزات با هم بررسی می‌شوند.
یک گسترش L2 را به‌عنوان طراحی مستقل خودش بررسی کنید
اگر کسی هنوز می‌خواهد Ethernet کشیده شود، آن را به‌عنوان پروژه‌ای جداگانه با ریسک‌های خودش بررسی کنید. بپرسید دامنه ترکیبی پخش و درخت پوشا چگونه است، نشانی‌دهی میان دو سازمان چگونه مدیریت می‌شود، وقتی یک طرف حلقه می‌زند چه می‌شود، و تغییرات در هر انتها را چه کسی تأیید می‌کند. یک آزمون موفق آزمایشگاهی به هیچ‌یک از این پرسش‌ها پاسخ نمی‌دهد، و قطعاً سازگاری دستگاه، توان عملیاتی یا بازیابی پس از خرابی لینک را تأیید نمی‌کند.
الگوی میزبان محلی را با اثبات سه چیز بپذیرید: ابزار عملیاتی را که برای آن وجود دارد انجام می‌دهد، کاربر دور برای این کار مجاز است، و سیستم‌های ردشده از آن میزبان دسترس‌ناپذیر می‌مانند. سپس دسترسی موقت را در پایان توافق‌شده کار لغو کنید و تأیید کنید که از میان رفته است.
این کار برای مشتری جایی کنترل‌شده برای انجام نگهداری محلی باقی می‌گذارد، که وعده‌ای کوچک‌تر از یک شبکه ادغام‌شده و بسیار آسان‌تر برای حفظ کردن است.