PLC-ûntdekking mislearret oer in VPN? Hâld Ethernet by de masine
Underhâldsark hat in rûte nedich, gjin brêge Ethernet-segmint. Set in beheard host op it segmint en behearskje dat host ynstee fan it LAN te rekken.
Jo ûntdekkingsknop draait foar altyd, fynt neat, en it ticket seit dat de masine offline is. De masine is goed. Wat it ark brûkt om apparaten op dat segmint te finen, oerlibbet it paad dat it krigen hat net, en de refleks is om it Ethernet fan de klant oer de site-keppeling te rekken sadat de knop wer wurket. Bepaal earst de ôfhinklikens. De measte ûnderhâldsark hat in rûte nedich; as ien wier de tried nedich hat, is it duorsume antwurd in beheard host njonken de masine ynstee fan in brêge netwurk tusken twa gebouwen.
Wêrom't ûntdekking stjert oan 'e râne fan in rûte tunnel
In rûte tunnel ferfiert unicast-pakketten tusken subnetten. Broadcast- en multicast-ramen bliuwe yn ien broadcast-domein, en it VPN-einpunt is krekt dêr't dat domein einiget. In ark dat apparaten fynt troch yn it segmint te roppen, kriget stilte, om't de rop nea trochstjoerd waard.
Itselde jildt foar protokollen dy't hielendal gjin IP binne, en foar leveransiersramen dy't direkt op Ethernet ride. Dy kinne troch gjin konfiguraasje rûte wurde, en dêrom feroaret it faaks neat om rûtes en firewall-regels oan in ûntdekkingsprobleem ta te foegjen.
Merk op wat yn dy tastân noch wurket. In ping nei in bekend adres en in unicast-ferbining nei in bekende poarte slagje meastentiids, om't dat de dielen binne dêr't de tunnel foar boud waard. Dy kombinaasje, berikber op adres mar ûnsichtber foar ûntdekking, is de sinjatuer fan in ûntbrekkend broadcast-domein en net fan in stikken netwurk.
Nammje de ôfhinklikens foardat jo in transport kieze
Lês de dokumintaasje fan it ark oer hoe't it apparaten fynt en mei har praat, en fergelykje it dan mei dizze tabel.
| What the tool needs | Routed tunnel enough | Local segment needed |
|---|---|---|
| Unicast to a known address, such as a web interface or Modbus TCP on 502 | Yes | No |
| Broadcast or multicast discovery of unknown devices | No | Yes |
| Non-IP or vendor-specific Layer 2 frames | No | Yes |
| A tool bound to one adapter or licence keyed to a MAC address | Usually no | Usually yes |
As elke eask yn jo gefal yn 'e earste rigel stiet, stopje hjir dan en reparearje de rûte. Dat is in goedkeapere en folle better te beoardieljen feroaring as hokker topologywurk dan ek, en it hâldt de ûnderhâldssesje binnen it tagongspaad dat de klant al goedkard hat.
Multicast-ûntdekking sit yn in ûngemaklik midden. In reflektor of repeater kin in part derfan oer subnetten trochstjoere, wat de knop wurkje lit en stil útwreidet wat de fiere kant berikke kin. Behannele dat as in bewust ûntwerp mei in eigner, net as in handich tichfakje.
Set in beheard host op it segmint en ferbyn dêrmei
It patroan dat in audit oerlibbet is net glânsryk. In troch de klant goedkarde engineering-wurkstasjon is oan it ûnderhâldssegmint fan de masine ferbûn, en de technikus ferbynt mei dat wurkstasjon fia it goedkarde kaniel foar tagong op ôfstân. It ark rint dêr't de tried is; de persoan rint fan wêr't er ek is.
Dan wurdt neat fan it thúsfedwurk fan de technikus part fan it Ethernet fan de masine, en der wurdt gjin brêge makke tusken twa sites dy't nea ôfpraat hawwe om in flaterdomein te dielen.
Hâld it lokale domein sa lyts as it wurk tastean. Ien ûnderhâlds-VLAN mei ien beheard host hat in beheind broadcast-berik, in beheind lusdomein en in flater dy't yn 'e fabryk bliuwt ynstee fan him oer in WAN-keppeling te fersprieden om trije oere moarns.
Jou dat host ien taak, in eigner en in auditspoar
Nammje de eigner, listje de tastiene software op, definiearje hoe't dy patcht wurdt en registrearje hokker brûkers it berikke meie. Hâld wurkbestannen en legitimaaasjes bûn oan de juste klant, want in dielde engineering-laptop dy't seis sites besocht hat is in probleem mei de gegevensgrins dat wachtet om ûntdutsen te wurden.
Sjoch dan nei de kanalen dy't minsken ferjitte. Kliermbord-syngronisaasje, bestânsferfier, keppele skiven en adapterdieling ferpleatse allegear gegevens oer de grins, en in sesje foar byld op ôfstân docht dêr neat fan fergees. Beslis elk eksplisyt foar dit wurk ynstee fan te ervjen wat de klant as standert docht. It feroaringsfinster fan de klant heart ek by dy beslissing, want berikberens is net itselde as tastimming om te hanneljen.
Wat it beliedskader oanbelanget, behannelet it NIST-dokumint SP 800-82r3 ûnderhâld op ôfstân as kontrolearre tagong ta it operasjonele systeem, wêrby't ferbining en gefolgen foar apparatuer tegearre besjoen wurde.
Beoardielje in L2-útwreiding as in eigen ûntwerp
As immen it Ethernet noch altyd rekt hawwe wol, beoardielje it dan as in apart projekt mei eigen risiko's. Freegje hoe't it kombineare broadcast- en spanning-tree-domein derút sjocht, hoe't adressearring oer twa organisaasjes beheard wurdt, wat der bart as ien kant in lus makket, en wa't feroarings oan elk ein goedkart. In slagge labtest beantwurdet gjin fan dy fragen, en it falidearret grif gjin apparaatkompatibiliteit, trochfier of herstel nei in keppelingsflater.
Akseptearje it patroan fan it lokale host troch trije dingen te bewizen: it ark fiert de operaasje út dêr't it foar bestiet, de fiere brûker is foar dit wurk autorisearre, en wegere systemen bliuwe ûnberikber fan dat host. Lûk dan de tydlike tagong yn op it ôfpraat ein fan it wurk, en befêstigje dat dy fuort is.
Dat lit de klant in kontrolearre plak om lokaal ûnderhâld te dwaan, wat in lytser belofte is as in gearfoege netwurk en folle makliker om te hâlden.