PLC-tunnistus epäonnistuu VPN:n yli? Pidä Ethernet koneen luona

Tunnistuspainikkeesi pyörii loputtomiin, ei löydä mitään, ja tiketti sanoo koneen olevan offline. Kone on kunnossa. Se, millä työkalu paikantaa laitteita kyseiseltä segmentiltä, ei selviä sille annetusta polusta, ja refleksi on venyttää asiakkaan Ethernet toimipaikan linkin yli, jotta painike alkaa taas toimia. Selvitä riippuvuus ensin. Useimmat kunnossapitotyökalut tarvitsevat reitin; kun jokin todella tarvitsee kaapelin, kestävä vastaus on koneen vieressä oleva hallittu isäntä eikä kahden rakennuksen välinen sillattu verkko.

Miksi tunnistus kuolee reititetyn tunnelin reunalla

Reititetty tunneli kuljettaa unicast-paketteja aliverkkojen välillä. Broadcast- ja multicast-kehykset pysyvät yhden broadcast-toimialueen sisällä, ja VPN:n päätepiste on täsmälleen siinä, mihin tuo toimialue päättyy. Työkalu, joka löytää laitteita huutamalla segmenttiin, saa vastaukseksi hiljaisuuden, koska huutoa ei koskaan välitetty.

Sama koskee protokollia, jotka eivät ole lainkaan IP:tä, ja valmistajien kehyksiä, jotka kulkevat suoraan Ethernetin päällä. Niitä ei voi reitittää millään kokoonpanolla, ja siksi reittien ja palomuurisääntöjen lisääminen tunnistusongelmaan ei usein muuta mitään.

Huomaa, mikä tuossa tilassa vielä toimii. Ping tunnettuun osoitteeseen ja unicast-yhteys tunnettuun porttiin onnistuvat yleensä, koska ne ovat ne osat, joita varten tunneli rakennettiin. Tämä yhdistelmä, osoitteella tavoitettavissa mutta tunnistukselle näkymätön, on puuttuvan broadcast-toimialueen eikä rikkinäisen verkon tunnusmerkki.

Nimeä riippuvuus ennen kuin valitset kuljetuksen

Lue työkalun dokumentaatiosta, miten se löytää laitteet ja puhuu niille, ja vertaa sitä sitten tähän taulukkoon.

Jos jokainen vaatimus tapauksessasi on ensimmäisellä rivillä, pysähdy tähän ja korjaa reititys. Se on halvempi ja paljon helpommin tarkistettava muutos kuin mikään topologiatyö, ja se pitää kunnossapitosession asiakkaan jo hyväksymän käyttöpolun sisällä.

Multicast-tunnistus on hankalassa keskikohdassa. Heijastin tai toistin voi välittää osan siitä aliverkkojen yli, mikä saa painikkeen toimimaan ja laajentaa hiljaa sitä, mihin etäpuoli voi päästä. Käsittele sitä omistajan omaavana tarkoituksellisena suunnitteluna, älä hyödyllisenä valintaruutuna.

Aseta hallittu isäntä segmentille ja yhdistä siihen

Auditoinnin kestävä malli on vaatimaton. Asiakkaan hyväksymä insinöörityöasema on kytketty koneen kunnossapitosegmenttiin, ja teknikko yhdistää siihen työasemaan hyväksytyn etäkäyttökanavan kautta. Työkalu pyörii siellä, missä kaapeli on; ihminen pyörii siellä, missä hän on.

Silloin mikään teknikon kotiverkosta ei tule osaksi koneen Ethernetiä, eikä sellaista siltaa synny kahden toimipaikan välille, jotka eivät ole koskaan sopineet vikatoimialueen jakamisesta.

Pidä paikallinen toimialue niin pienenä kuin työ sallii. Yhdellä kunnossapito-VLANilla, jossa on yksi hallittu isäntä, on rajattu broadcast-laajuus, rajattu silmukkatoimialue ja vika, joka pysyy tehtaan sisällä sen sijaan, että se leviäisi WAN-linkin yli kolmelta aamuyöllä.

Anna tuolle isännälle yksi tehtävä, omistaja ja auditointijälki

Nimeä omistaja, luettele sallittu ohjelmisto, määrittele, miten se paikataan, ja kirjaa, ketkä käyttäjät voivat päästä siihen. Pidä työtiedostot ja tunnukset oikeaan asiakkaaseen sidottuina, sillä jaettu insinööriläppäri, joka on käynyt kuudella toimipaikalla, on datan rajapinnan ongelma, joka odottaa löytämistä.

Katso sitten kanavia, jotka ihmiset unohtavat. Leikepöydän synkronointi, tiedostonsiirto, kartoitettu asemat ja sovittimen jakaminen siirtävät kaikki dataa rajan yli, eikä etänäyttöistunto tee mitään niistä ilmaiseksi. Päätä jokaisesta erikseen tätä työtä varten sen sijaan, että perisit sen, mitä asiakas oletuksena tekee. Asiakkaan muutosikkuna kuuluu myös tähän päätökseen, sillä tavoitettavuus ei ole sama asia kuin lupa toimia.

Mitä tulee politiikkakehykseen, NIST:n asiakirja SP 800-82r3 käsittelee etähallintaa valvottuna pääsynä operatiiviseen järjestelmään, jossa yhteydet ja laitteiden seuraukset arvioidaan yhdessä.

Arvioi L2-laajennus omana suunnittelunaan

Jos joku yhä haluaa Ethernetin venytettynä, arvioi se erillisenä projektina, jolla on omat riskinsä. Kysy, miltä yhdistetty broadcast- ja spanning tree -toimialue näyttää, miten osoitteistoa hallitaan kahden organisaation välillä, mitä tapahtuu, kun toinen puoli silmukoituu, ja kuka hyväksyy muutokset kummassakin päässä. Onnistunut laboratoriokoe ei vastaa mihinkään näistä kysymyksistä, eikä se varmasti validoi laitteiden yhteensopivuutta, läpäisykykyä tai palautumista linkkivian jälkeen.

Hyväksy paikallisen isännän malli todistamalla kolme asiaa: työkalu suorittaa toiminnon, jota varten se on olemassa, etäkäyttäjä on valtuutettu tähän työhön, ja kielletyt järjestelmät pysyvät tavoittamattomina tuolta isännältä. Peruuta sitten väliaikainen pääsy työn sovittuun päätökseen ja vahvista, että se on poissa.

Se jättää asiakkaalle valvotun paikan paikalliseen kunnossapitoon, mikä on pienempi lupaus kuin yhdistetty verkko ja paljon helpompi pitää.