Penemuan PLC Gagal lewat VPN? Biarkan Ethernet di Mesin

Tombol penemuan Anda berputar tanpa henti, tidak menemukan apa pun, dan tiketnya mengatakan mesin sedang offline. Mesinnya baik-baik saja. Apa pun yang dipakai alat itu untuk menemukan perangkat di segmen tersebut tidak bertahan melewati jalur yang diberikan, dan refleksnya adalah merentangkan Ethernet pelanggan melalui tautan situs agar tombolnya berfungsi lagi. Tentukan dulu ketergantungannya. Sebagian besar alat pemeliharaan membutuhkan rute; ketika ada yang benar-benar membutuhkan kabel, jawaban yang tahan lama adalah host terkelola di samping mesin, bukan jaringan yang dijembatani antara dua gedung.

Mengapa penemuan mati di tepi terowongan yang dirutekan

Terowongan yang dirutekan membawa paket unicast antar-subnet. Bingkai siaran dan multicast tetap di dalam satu domain siaran, dan titik akhir VPN persis berada di tempat domain itu berakhir. Alat yang menemukan perangkat dengan berteriak ke dalam segmen hanya mendapat keheningan, karena teriakan itu tidak pernah diteruskan.

Hal yang sama berlaku untuk protokol yang sama sekali bukan IP, dan untuk bingkai vendor yang berjalan langsung di atas Ethernet. Itu tidak dapat dirutekan oleh konfigurasi apa pun, itulah sebabnya menambahkan rute dan aturan firewall ke masalah penemuan sering tidak menghasilkan perubahan sama sekali.

Perhatikan apa yang masih bekerja dalam keadaan itu. Ping ke alamat yang dikenal dan koneksi unicast ke port yang dikenal biasanya berhasil, karena itulah bagian yang menjadi tujuan pembangunan terowongan. Kombinasi itu, dapat dijangkau berdasarkan alamat tetapi tidak terlihat oleh penemuan, adalah tanda domain siaran yang hilang, bukan jaringan yang rusak.

Namai ketergantungannya sebelum memilih transport

Baca dokumentasi alat tentang bagaimana ia menemukan perangkat dan berbicara dengannya, lalu cocokkan dengan tabel ini.

Jika setiap persyaratan dalam kasus Anda ada di baris pertama, berhentilah di sini dan perbaiki perutean. Itu perubahan yang lebih murah dan jauh lebih mudah ditinjau daripada pekerjaan topologi apa pun, dan menjaga sesi pemeliharaan tetap di dalam jalur akses yang sudah disetujui pelanggan.

Penemuan multicast berada di tengah yang canggung. Reflektor atau pengulang dapat meneruskan sebagiannya antar-subnet, yang membuat tombol berfungsi dan diam-diam memperluas apa yang dapat dijangkau sisi jauh. Perlakukan itu sebagai desain yang disengaja dengan pemilik, bukan sebagai kotak centang yang membantu.

Tempatkan host terkelola di segmen itu dan akses dari jarak jauh

Pola yang bertahan dalam audit tidak glamor. Stasiun kerja teknik yang disetujui pelanggan terpasang pada segmen pemeliharaan mesin, dan teknisi terhubung ke stasiun kerja itu melalui kanal akses jarak jauh yang disetujui. Alat berjalan di tempat kabel berada; orangnya bekerja dari mana pun ia berada.

Dengan begitu tidak ada bagian dari jaringan rumah teknisi yang menjadi bagian dari Ethernet mesin, dan tidak ada jembatan yang dibuat antara dua situs yang tidak pernah setuju berbagi domain kegagalan.

Jaga domain lokal sekecil yang diizinkan pekerjaan. Satu VLAN pemeliharaan dengan satu host terkelola memiliki cakupan siaran yang terbatas, domain loop yang terbatas, dan kegagalan yang tetap di dalam pabrik alih-alih menyebar melalui tautan WAN pada pukul tiga pagi.

Beri host itu satu pekerjaan, satu pemilik, dan satu jejak audit

Namai pemiliknya, daftar perangkat lunak yang diizinkan, tentukan bagaimana penambalannya, dan catat pengguna mana yang boleh menjangkaunya. Simpan berkas pekerjaan dan kredensial terikat pada pelanggan yang benar, karena laptop teknik bersama yang telah mengunjungi enam situs adalah masalah batas data yang menunggu ditemukan.

Lalu lihat kanal yang dilupakan orang. Sinkronisasi papan klip, transfer berkas, drive yang dipetakan, dan berbagi adaptor semuanya memindahkan data melintasi batas, dan sesi tampilan jarak jauh tidak melakukan satu pun dari itu secara gratis. Putuskan masing-masing secara eksplisit untuk pekerjaan ini alih-alih mewarisi apa pun yang menjadi bawaan klien. Jendela perubahan pelanggan juga termasuk dalam keputusan itu, karena keterjangkauan tidak sama dengan izin untuk bertindak.

Untuk kerangka kebijakannya, dokumen NIST SP 800-82r3 memperlakukan pemeliharaan jarak jauh sebagai akses terkendali ke sistem operasional, di mana konektivitas dan konsekuensi peralatan ditinjau bersama.

Tinjau perluasan L2 sebagai desain tersendiri

Jika seseorang masih ingin Ethernet direntangkan, tinjau sebagai proyek terpisah dengan risikonya sendiri. Tanyakan bagaimana bentuk domain siaran dan spanning-tree gabungan, bagaimana pengalamatan dikelola lintas dua organisasi, apa yang terjadi ketika satu sisi mengalami loop, dan siapa yang menyetujui perubahan di tiap ujungnya. Uji laboratorium yang berhasil tidak menjawab satu pun pertanyaan itu, dan tentu saja tidak memvalidasi kompatibilitas perangkat, throughput, atau pemulihan setelah kegagalan tautan.

Terima pola host lokal dengan membuktikan tiga hal: alat menjalankan operasi yang menjadi alasan keberadaannya, pengguna jarak jauh berwenang untuk pekerjaan ini, dan sistem yang ditolak tetap tidak terjangkau dari host itu. Kemudian cabut akses sementara pada akhir pekerjaan yang disepakati, dan pastikan akses itu sudah hilang.

Itu meninggalkan pelanggan dengan tempat terkendali untuk melakukan pemeliharaan lokal, yang merupakan janji lebih kecil daripada jaringan yang digabung dan jauh lebih mudah ditepati.