PLC-ի հայտնաբերումը ձախողվում է VPN-ի միջով՝ Ethernet-ը պահեք մեքենայի մոտ
Սպասարկման գործիքներին երթուղի է պետք, ոչ թե կամրջված Ethernet հատված։ Տեղադրեք կառավարվող հոսթ հատվածում և կառավարեք այդ հոսթը՝ LAN-ը ձգելու փոխարեն։
Ձեր հայտնաբերման կոճակը պտտվում է անվերջ, ոչինչ չի գտնում, և տոմսում գրված է, որ մեքենան անցանց է։ Մեքենան կարգին է։ Այն, ինչ գործիքն օգտագործում է այդ հատվածում սարքեր գտնելու համար, չի հաղթահարում իրեն տրված ուղին, և ռեֆլեքսը հաճախորդի Ethernet-ը կայքի կապով ձգելն է, որպեսզի կոճակը նորից աշխատի։ Նախ պարզեք կախվածությունը։ Սպասարկման գործիքների մեծ մասին երթուղի է պետք, և երբ մեկին իսկապես մալուխն է պետք, կայուն պատասխանը մեքենայի կողքին գտնվող կառավարվող հոսթն է, այլ ոչ թե երկու շենքերի միջև կամրջված ցանցը։
Ինչու հայտնաբերումը մահանում է երթուղավորված թունելի եզրին
Երթուղավորված թունելը unicast փաթեթներ է տեղափոխում ենթացանցերի միջև։ Broadcast և multicast կադրերը մնում են մեկ broadcast դոմենի ներսում, և VPN-ի վերջնակետը հենց այնտեղ է, որտեղ ավարտվում է այդ դոմենը։ Հատվածի մեջ գոռալով սարքեր գտնող գործիքը լռություն է ստանում, որովհետև գոռոցը երբեք չի փոխանցվել։
Նույնը վերաբերում է պրոտոկոլներին, որոնք բոլորովին IP չեն, և արտադրողի կադրերին, որոնք ուղիղ Ethernet-ի վրա են ընթանում։ Դրանք ոչ մի կարգավորումով հնարավոր չէ երթուղավորել, և դրա համար է, որ հայտնաբերման խնդրին երթուղիներ ու firewall կանոններ ավելացնելը հաճախ ոչինչ չի փոխում։
Ուշադրություն դարձրեք, թե ինչ է դեռ աշխատում այդ վիճակում։ Հայտնի հասցեին ping-ը և հայտնի պորտին unicast կապը սովորաբար հաջողվում են, որովհետև դրանք այն մասերն են, որոնց համար կառուցվել է թունելը։ Այդ համադրությունը՝ հասցեով հասանելի, բայց հայտնաբերման համար անտեսանելի, բացակայող broadcast դոմենի նշան է, այլ ոչ թե կոտրված ցանցի։
Անվանեք կախվածությունը նախքան տրանսպորտ ընտրելը
Կարդացեք գործիքի փաստաթղթերը, թե ինչպես է այն գտնում սարքերը և խոսում նրանց հետ, ապա համեմատեք այն այս աղյուսակի հետ։
| What the tool needs | Routed tunnel enough | Local segment needed |
|---|---|---|
| Unicast to a known address, such as a web interface or Modbus TCP on 502 | Yes | No |
| Broadcast or multicast discovery of unknown devices | No | Yes |
| Non-IP or vendor-specific Layer 2 frames | No | Yes |
| A tool bound to one adapter or licence keyed to a MAC address | Usually no | Usually yes |
Եթե ձեր դեպքում բոլոր պահանջները առաջին տողում են, կանգ առեք այստեղ և ուղղեք երթուղավորումը։ Դա ավելի էժան և շատ ավելի հեշտ վերանայվող փոփոխություն է, քան ցանկացած տոպոլոգիական աշխատանք, և սպասարկման նստաշրջանը պահում է այն մուտքի ուղու մեջ, որն արդեն հաստատել է հաճախորդը։
Multicast հայտնաբերումը գտնվում է անհարմար միջնամասում։ Արտացոլիչը կամ կրկնիչը կարող է դրա մի մասը փոխանցել ենթացանցերով, ինչը կոճակը գործարկում է և լուռ ընդլայնում, թե ինչին կարող է հասնել հեռավոր կողմը։ Վերաբերվեք դրան որպես տեր ունեցող դիտավորյալ ձևավորում, ոչ թե որպես օգտակար նշատուփ։
Կառավարվող հոսթ տեղադրեք հատվածում և հեռակա մուտք գործեք դրան
Աուդիտը հաղթահարող օրինաչափությունը փայլուն չէ։ Հաճախորդի կողմից հաստատված ինժեներական աշխատանքային կայանը միացված է մեքենայի սպասարկման հատվածին, և տեխնիկը միանում է այդ կայանին հաստատված հեռահար մուտքի ուղով։ Գործիքը աշխատում է այնտեղ, որտեղ մալուխն է, իսկ մարդը աշխատում է այնտեղից, որտեղ գտնվում է։
Այդ ժամանակ տեխնիկի տնային ցանցից ոչինչ չի դառնում մեքենայի Ethernet-ի մաս, և կամուրջ չի ստեղծվում երկու կայքերի միջև, որոնք երբեք չեն համաձայնել կիսել ձախողման դոմեն։
Տեղական դոմենը պահեք այնքան փոքր, որքան աշխատանքը թույլ է տալիս։ Մեկ սպասարկման VLAN-ը մեկ կառավարվող հոսթով ունի սահմանափակ broadcast ծավալ, սահմանափակ հանգույցի դոմեն և ձախողում, որը մնում է գործարանի ներսում՝ գիշերվա երեքին WAN կապով տարածվելու փոխարեն։
Այդ հոսթին տվեք մեկ աշխատանք, տեր և աուդիտի հետք
Անվանեք տիրոջը, թվարկեք թույլատրված ծրագրաշարը, սահմանեք, թե ինչպես է այն թարմացվում, և գրանցեք, թե որ օգտատերերը կարող են հասնել դրան։ Աշխատանքային ֆայլերն ու հավատարմագրերը պահեք ճիշտ հաճախորդի հետ կապված, որովհետև վեց կայք այցելած ընդհանուր ինժեներական նոթբուքը տվյալների սահմանի խնդիր է, որը սպասում է բացահայտմանը։
Ապա նայեք այն ուղիներին, որոնք մարդիկ մոռանում են։ Սեղանատախտակի համաժամացումը, ֆայլերի փոխանցումը, քարտեզագրված սկավառակները և ադապտերի համօգտագործումը բոլորը տվյալները տեղափոխում են սահմանից այն կողմ, և հեռահար ցուցադրման նստաշրջանը դրանցից ոչ մեկը անվճար չի անում։ Որոշեք յուրաքանչյուրի մասին բացահայտ այս աշխատանքի համար՝ հաճախորդի լռելայն կարգավորումները ժառանգելու փոխարեն։ Հաճախորդի փոփոխությունների պատուհանը նույնպես պատկանում է այդ որոշմանը, քանի որ հասանելիությունը նույնը չէ, ինչ գործելու թույլտվությունը։
Քաղաքականության շրջանակի համար NIST-ի SP 800-82r3 փաստաթուղթը հեռահար սպասարկումը դիտարկում է որպես օպերացիոն համակարգին վերահսկվող մուտք, որտեղ կապակցվածությունը և սարքավորումների հետևանքները քննարկվում են միասին։
L2 ընդլայնումը դիտարկեք որպես առանձին ձևավորում
Եթե ինչ-որ մեկը դեռ ուզում է ձգված Ethernet, դիտարկեք այն որպես առանձին նախագիծ՝ իր ռիսկերով։ Հարցրեք, թե ինչ տեսք ունի միավորված broadcast և spanning-tree դոմենը, ինչպես է կառավարվում հասցեավորումը երկու կազմակերպությունների միջև, ինչ է լինում, երբ մի կողմը հանգույց է կազմում, և ով է հաստատում փոփոխությունները յուրաքանչյուր ծայրում։ Հաջող լաբորատոր փորձարկումը ոչ մի պատասխան չի տալիս այդ հարցերից, և այն հաստատ չի վավերացնում սարքերի համատեղելիությունը, թողունակությունը կամ կապի խափանումից հետո վերականգնումը։
Ընդունեք տեղական-հոսթ օրինաչափությունը՝ ապացուցելով երեք բան՝ գործիքը կատարում է այն գործողությունը, որի համար գոյություն ունի, հեռավոր օգտատերը լիազորված է այս աշխատանքի համար, և մերժված համակարգերը մնում են անհասանելի այդ հոսթից։ Ապա չեղարկեք ժամանակավոր մուտքը աշխատանքի համաձայնեցված ավարտին և հաստատեք, որ այն անհետացել է։
Դա հաճախորդին թողնում է վերահսկվող տեղ տեղական սպասարկման համար, ինչը միավորված ցանցից ավելի փոքր խոստում է և շատ ավելի հեշտ պահպանելի։