Otkrivanje PLC-a ne uspijeva preko VPN-a? Zadržite Ethernet kod stroja

Vaš gumb za otkrivanje vrti se unedogled, ne pronalazi ništa, a u prijavi piše da je stroj izvan mreže. Stroj je u redu. Ono što alat koristi za pronalaženje uređaja na tom segmentu ne preživljava put koji mu je dan, a refleks je rastegnuti Ethernet kupca preko linka lokacije kako bi gumb ponovno proradio. Prvo utvrdite ovisnost. Većini alata za održavanje treba ruta; kada nekom zaista treba kabel, trajni odgovor je upravljani host uz stroj, a ne premoštena mreža između dvije zgrade.

Zašto otkrivanje umire na rubu rutiranog tunela

Rutirani tunel prenosi unicast pakete između podmreža. Broadcast i multicast okviri ostaju unutar jedne broadcast domene, a VPN endpoint je upravo tamo gdje ta domena završava. Alat koji pronalazi uređaje vičući u segment dobiva tišinu jer vika nikada nije proslijeđena.

Isto vrijedi za protokole koji uopće nisu IP, i za okvire proizvođača koji idu izravno po Ethernetu. Njih nije moguće rutirati nikakvom konfiguracijom, zbog čega dodavanje ruta i pravila vatrozida problemu otkrivanja često ne mijenja ništa.

Primijetite što još radi u tom stanju. Ping na poznatu adresu i unicast veza na poznati port obično uspijevaju jer su to dijelovi za koje je tunel napravljen. Ta kombinacija, dostupna po adresi ali nevidljiva za otkrivanje, znak je broadcast domene koja nedostaje, a ne pokvarene mreže.

Imenujte ovisnost prije nego što odaberete transport

Pročitajte dokumentaciju alata o tome kako pronalazi uređaje i razgovara s njima, pa to usporedite s ovom tablicom.

Ako svaki zahtjev u vašem slučaju stoji u prvom redu, zaustavite se ovdje i popravite rutiranje. To je jeftinija i mnogo lakše pregledna promjena od bilo kakvog rada na topologiji i zadržava sesiju održavanja unutar pristupnog puta koji je kupac već odobrio.

Multicast otkrivanje stoji u nezgodnoj sredini. Reflektor ili repetitor može dio toga proslijediti preko podmreža, što gumb pokrene i tiho proširi ono do čega udaljena strana može doći. Tretirajte to kao svjesnu konstrukciju s vlasnikom, a ne kao koristan kvadratić.

Postavite upravljani host na segment i povežite se na njega

Obrazac koji preživljava reviziju nije blistav. Radna stanica za inženjering koju je kupac odobrio priključena je na segment za održavanje stroja, a tehničar se povezuje na tu radnu stanicu kroz odobreni kanal za udaljeni pristup. Alat radi tamo gdje je kabel; osoba radi odakle god jest.

Tada ništa iz tehničareve kućne mreže ne postaje dio Ethernet mreže stroja i ne stvara se most između dvije lokacije koje nikada nisu pristale dijeliti domenu kvara.

Držite lokalnu domenu što manjom koliko posao dopušta. Jedan VLAN za održavanje s jednim upravljanim hostom ima ograničen broadcast obim, ograničenu domenu petlji i kvar koji ostaje unutar postrojenja umjesto da se širi preko WAN linka u tri ujutro.

Dajte tom hostu jedan zadatak, vlasnika i revizijski trag

Imenujte vlasnika, navedite dopušteni softver, definirajte kako se zakrpa i zabilježite koji korisnici mogu do njega doći. Držite radne datoteke i akreditive vezane za pravog kupca jer zajednički inženjerski laptop koji je posjetio šest lokacija jest problem granice podataka koji čeka da bude otkriven.

Zatim pogledajte kanale koje ljudi zaboravljaju. Sinkronizacija međuspremnika, prijenos datoteka, mapirani diskovi i dijeljenje adaptera premještaju podatke preko granice, a sesija udaljenog prikaza ne radi ništa od toga besplatno. Odlučite o svakom izričito za ovaj posao umjesto da naslijedite što god klijent podrazumijeva. Kupčev prozor za promjene također pripada toj odluci jer dostupnost nije isto što i dopuštenje za djelovanje.

Što se tiče političkog okvira, NIST-ov SP 800-82r3 tretira udaljeno održavanje kao kontrolirani pristup operativnom sustavu, gdje se povezanost i posljedice po opremu razmatraju zajedno.

Razmotrite L2 proširenje kao zaseban dizajn

Ako netko još želi rastegnut Ethernet, razmotrite to kao zaseban projekt s vlastitim rizicima. Pitajte kako izgleda spojena broadcast i spanning-tree domena, kako se upravlja adresiranjem između dvije organizacije, što se događa kada jedna strana uđe u petlju i tko odobrava promjene na svakoj strani. Uspješan laboratorijski test ne odgovara ni na jedno od tih pitanja i sigurno ne potvrđuje kompatibilnost uređaja, propusnost ili oporavak nakon kvara linka.

Prihvatite obrazac lokalnog hosta dokazujući tri stvari: alat obavlja operaciju zbog koje postoji, udaljeni korisnik je ovlašten za ovaj posao i zabranjeni sustavi ostaju nedostupni s tog hosta. Zatim ukinite privremeni pristup na dogovorenom kraju posla i potvrdite da ga nema.

To kupcu ostavlja kontrolirano mjesto za obavljanje lokalnog održavanja, što je manje obećanje od spojene mreže i mnogo ga je lakše održati.