גילוי PLC נכשל דרך VPN? השאירו את Ethernet ליד המכונה
כלי תחזוקה זקוקים למסלול, לא למקטע Ethernet מגושר. הציבו מארח מנוהל במקטע ושלטו באותו מארח במקום למתוח את ה-LAN.
כפתור הגילוי שלכם מסתובב עד אין קץ, לא מוצא דבר, והפנייה אומרת שהמכונה לא מחוברת. המכונה בסדר. מה שהכלי משתמש בו כדי לאתר התקנים במקטע הזה לא שורד את המסלול שניתן לו, והרפלקס הוא למתוח את ה-Ethernet של הלקוח על פני קישור האתר כדי שהכפתור יתחיל לעבוד שוב. קבעו את התלות קודם. רוב כלי התחזוקה זקוקים למסלול; כאשר אחד באמת זקוק לכבל, התשובה העמידה היא מארח מנוהל ליד המכונה ולא רשת מגושרת בין שני מבנים.
למה הגילוי מת בקצה של מנהרה מנותבת
מנהרה מנותבת מעבירה מנות unicast בין תת-רשתות. מסגרות שידור ו-multicast נשארות בתוך תחום שידור אחד, ונקודת הקצה של ה-VPN נמצאת בדיוק במקום שבו התחום הזה נגמר. כלי שמאתר התקנים על ידי צעקה לתוך המקטע מקבל דממה, כי הצעקה מעולם לא הועברה הלאה.
הדבר נכון גם לפרוטוקולים שאינם IP כלל, ולמסגרות יצרן שנוסעות ישירות על Ethernet. אלה אינן ניתנות לניתוב בשום תצורה, ולכן הוספת מסלולים וכללי חומת אש לבעיית גילוי לרוב לא משנה דבר.
שימו לב למה שעדיין עובד במצב הזה. ping לכתובת ידועה וחיבור unicast ליציאה ידועה בדרך כלל מצליחים, כי אלה החלקים שלמענם נבנתה המנהרה. השילוב הזה, נגיש לפי כתובת אך בלתי נראה לגילוי, הוא הסימן לתחום שידור חסר ולא לרשת שבורה.
תנו שם לתלות לפני בחירת תחבורה
קראו בתיעוד הכלי כיצד הוא מאתר התקנים ומדבר איתם, ואז השוו זאת לטבלה הזו.
| What the tool needs | Routed tunnel enough | Local segment needed |
|---|---|---|
| Unicast to a known address, such as a web interface or Modbus TCP on 502 | Yes | No |
| Broadcast or multicast discovery of unknown devices | No | Yes |
| Non-IP or vendor-specific Layer 2 frames | No | Yes |
| A tool bound to one adapter or licence keyed to a MAC address | Usually no | Usually yes |
אם כל דרישה במקרה שלכם נמצאת בשורה הראשונה, עצרו כאן ותקנו את הניתוב. זהו שינוי זול וקל בהרבה לבדיקה מכל עבודת טופולוגיה, והוא משאיר את הפעלת התחזוקה בתוך מסלול הגישה שהלקוח כבר אישר.
גילוי multicast נמצא באמצע לא נוח. משקף או משחזר יכול להעביר חלק ממנו בין תת-רשתות, מה שמפעיל את הכפתור ומרחיב בשקט את מה שהצד המרוחק יכול להגיע אליו. התייחסו לזה כתכנון מכוון עם בעלים, לא כתיבת סימון מועילה.
הציבו מארח מנוהל במקטע והתחברו אליו מרחוק
התבנית ששורדת ביקורת אינה זוהרת. תחנת עבודה הנדסית שאושרה על ידי הלקוח מחוברת למקטע התחזוקה של המכונה, והטכנאי מתחבר לאותה תחנה דרך ערוץ הגישה מרחוק המאושר. הכלי רץ היכן שהכבל נמצא; האדם רץ מכל מקום שהוא.
אז שום דבר מרשת הבית של הטכנאי לא הופך לחלק מה-Ethernet של המכונה, ולא נוצר גשר בין שני אתרים שמעולם לא הסכימו לחלוק תחום כשל.
השאירו את התחום המקומי קטן ככל שהעבודה מאפשרת. VLAN תחזוקה אחד עם מארח מנוהל אחד יש היקף שידור מוגבל, תחום לולאות מוגבל, וכשל שנשאר בתוך המפעל במקום להתפשט על פני קישור WAN בשלוש לפנות בוקר.
תנו לאותו מארח משימה אחת, בעלים אחד ושביל ביקורת
תנו שם לבעלים, פרטו את התוכנה המותרת, הגדירו כיצד היא מתוקנת, ותעדו אילו משתמשים רשאים להגיע אליה. שמרו את קובצי העבודה ואת פרטי הכניסה קשורים ללקוח הנכון, כי מחשב נייד הנדסי משותף שביקר בשישה אתרים הוא בעיית גבול נתונים שממתינה להתגלות.
לאחר מכן הביטו בערוצים שאנשים שוכחים. סנכרון לוח גזירים, העברת קבצים, כוננים ממופים ושיתוף מתאם כולם מעבירים נתונים מעבר לגבול, והפעלת תצוגה מרחוק לא עושה אף אחד מהם בחינם. החליטו על כל אחד מהם במפורש למשימה הזו במקום לרשת את מה שהלקוח עושה כברירת מחדל. חלון השינויים של הלקוח שייך גם הוא להחלטה הזו, שכן נגישות אינה זהה להרשאה לפעול.
לגבי המסגרת המדינית, מסמך NIST SP 800-82r3 מתייחס לתחזוקה מרחוק כגישה מבוקרת למערכת התפעולית, שבה קישוריות והשלכות ציוד נבדקות יחד.
בחנו הרחבת L2 כתכנון בפני עצמו
אם מישהו עדיין רוצה את ה-Ethernet מתוח, בחנו זאת כפרויקט נפרד עם הסיכונים שלו. שאלו איך נראים תחום השידור ותחום עץ הפורש המאוחדים, כיצד מנוהל מיעון בין שני ארגונים, מה קורה כשצד אחד נכנס ללולאה, ומי מאשר שינויים בכל קצה. מבחן מעבדה מוצלח לא עונה על אף אחת מהשאלות האלה, והוא ודאי לא מאמת תאימות התקנים, תפוקה או התאוששות לאחר כשל בקישור.
קבלו את תבנית המארח המקומי בהוכחת שלושה דברים: הכלי מבצע את הפעולה שלמענה הוא קיים, המשתמש המרוחק מורשה למשימה הזו, ומערכות שנדחו נשארות בלתי נגישות מאותו מארח. לאחר מכן בטלו את הגישה הזמנית בסוף המוסכם של המשימה, ואשרו שהיא נעלמה.
זה משאיר ללקוח מקום מבוקר לביצוע תחזוקה מקומית, שזו הבטחה קטנה מרשת מאוחדת והרבה יותר קלה לקיום.