PLC aptikimas nepavyksta per VPN? Palikite Ethernet prie mašinos

Jūsų aptikimo mygtukas sukasi be galo, nieko neranda, o biliete parašyta, kad mašina neprisijungusi. Mašina tvarkinga. Tai, ką įrankis naudoja įrenginiams tame segmente rasti, neįveikia jam duoto maršruto, o refleksas yra ištempti kliento Ethernet per objekto ryšį, kad mygtukas vėl veiktų. Pirmiausia nustatykite priklausomybę. Daugumai priežiūros įrankių reikia maršruto; kai vienam tikrai reikia kabelio, ilgalaikis atsakymas yra valdomas hostas prie mašinos, o ne sujungtas tinklas tarp dviejų pastatų.

Kodėl aptikimas miršta maršrutizuoto tunelio krašte

Maršrutizuotas tunelis perduoda unicast paketus tarp potinklių. Transliavimo ir multicast kadrai lieka viename transliavimo domene, o VPN galinis taškas yra būtent ten, kur ta sritis baigiasi. Įrankis, kuris randa įrenginius šaukdamas į segmentą, sulaukia tylos, nes šauksmas niekada nebuvo persiųstas.

Tas pats galioja protokolams, kurie visai nėra IP, ir gamintojo kadrams, kurie keliauja tiesiai per Ethernet. Jų neįmanoma maršrutizuoti jokia konfigūracija, todėl maršrutų ir ugniasienės taisyklių pridėjimas prie aptikimo problemos dažnai nieko nekeičia.

Atkreipkite dėmesį, kas tame stovyje dar veikia. Ping į žinomą adresą ir unicast ryšys su žinomu prievadu paprastai pavyksta, nes tai tos dalys, kurioms tunelis buvo pastatytas. Šis derinys, pasiekiamas pagal adresą, bet nematomas aptikimui, yra trūkstamo transliavimo domeno, o ne sugedusio tinklo požymis.

Įvardykite priklausomybę prieš rinkdamiesi transportą

Perskaitykite įrankio dokumentaciją, kaip jis randa įrenginius ir su jais kalba, tada palyginkite ją su šia lentele.

Jei visi jūsų atvejo reikalavimai yra pirmoje eilutėje, sustokite čia ir sutvarkykite maršrutizavimą. Tai pigesnis ir daug lengviau peržiūrimas pakeitimas nei bet koks topologijos darbas, ir jis išlaiko priežiūros sesiją kliento jau patvirtintame prieigos kelyje.

Multicast aptikimas yra nepatogioje viduryje. Atšvaitas ar kartotuvas gali persiųsti dalį jo per potinklius, todėl mygtukas pradeda veikti ir tyliai išplečiama tai, ką gali pasiekti nuotolinė pusė. Traktuokite tai kaip sąmoningą dizainą su savininku, o ne kaip naudingą žymės langelį.

Įdėkite valdomą hostą į segmentą ir prisijunkite prie jo

Auditą išlaikantis modelis nėra blizgus. Kliento patvirtinta inžinerinė darbo stotis prijungta prie mašinos priežiūros segmento, o technikas jungiasi prie tos stoties per patvirtintą nuotolinės prieigos kanalą. Įrankis veikia ten, kur kabelis; žmogus dirba iš ten, kur yra.

Tada niekas iš techniko namų tinklo netampa mašinos Ethernet dalimi, ir netiesiamas tiltas tarp dviejų objektų, kurie niekada nebuvo sutikę dalytis gedimo sritimi.

Laikykite vietinę sritį tokią mažą, kiek leidžia darbas. Viena priežiūros VLAN su vienu valdomu hostu turi ribotą transliavimo apimtį, ribotą kilpų sritį ir gedimą, kuris lieka gamykloje, o ne plinta per WAN ryšį trečią valandą nakties.

Duokite tam hostui vieną darbą, savininką ir audito pėdsaką

Įvardykite savininką, išvardykite leidžiamą programinę įrangą, apibrėžkite, kaip ji atnaujinama, ir užrašykite, kurie naudotojai gali ją pasiekti. Laikykite darbo failus ir prisijungimo duomenis susietus su teisingu klientu, nes bendras inžinerinis nešiojamasis kompiuteris, apsilankęs šešiuose objektuose, yra duomenų ribos problema, laukianti atradimo.

Tada pažiūrėkite į kanalus, kuriuos žmonės pamiršta. Mainų atmintinės sinchronizavimas, failų perdavimas, priskirti diskai ir adapterio bendrinimas visi perkelia duomenis per ribą, o nuotolinio ekrano sesija nieko iš to nedaro nemokamai. Nuspręskite dėl kiekvieno atskirai šiam darbui, o ne paveldėkite tai, ką klientas daro pagal nutylėjimą. Kliento pakeitimų langas taip pat priklauso šiam sprendimui, nes pasiekiamumas nėra tas pats kaip leidimas veikti.

Kalbant apie politikos sistemą, NIST dokumentas SP 800-82r3 nuotolinę priežiūrą laiko kontroliuojama prieiga prie operacinės sistemos, kur jungiamumas ir įrangos pasekmės nagrinėjami kartu.

Vertinkite L2 plėtimą kaip atskirą projektą

Jei kas nors vis dar nori ištempto Ethernet, vertinkite tai kaip atskirą projektą su savo rizikomis. Paklauskite, kaip atrodo sujungta transliavimo ir spanning-tree sritis, kaip valdomas adresavimas tarp dviejų organizacijų, kas nutinka, kai viena pusė įsuka kilpą, ir kas tvirtina pakeitimus kiekviename gale. Sėkmingas laboratorinis bandymas neatsako nė į vieną iš šių klausimų ir tikrai nepatvirtina įrenginių suderinamumo, pralaidumo ar atkūrimo po ryšio gedimo.

Priimkite vietinio hosto modelį įrodydami tris dalykus: įrankis atlieka operaciją, kuriai egzistuoja, nuotolinis naudotojas yra įgaliotas šiam darbui, o uždraustos sistemos lieka nepasiekiamos iš to hosto. Tada atšaukite laikiną prieigą sutartame darbo pabaigoje ir patvirtinkite, kad jos nebėra.

Tai palieka klientui kontroliuojamą vietą vietinei priežiūrai, o tai yra mažesnis pažadas nei sujungtas tinklas ir daug lengviau įvykdomas.