PLC atklāšana neizdodas VPN dēļ? Paturiet Ethernet pie mašīnas

Jūsu atklāšanas poga griežas bezgalīgi, neko neatrod, un biļetē teikts, ka mašīna ir bezsaistē. Mašīna ir kārtībā. Tas, ko rīks izmanto ierīču atrašanai šajā segmentā, neiztur tam doto ceļu, un reflekss ir izstiept klienta Ethernet pāri vietas saitam, lai poga atkal darbotos. Vispirms noskaidrojiet atkarību. Lielākajai daļai apkopes rīku vajag maršrutu; ja kādam tiešām vajag kabeli, ilgtspējīgā atbilde ir pārvaldīts hosts pie mašīnas, nevis savienots tīkls starp divām ēkām.

Kāpēc atklāšana mirst maršrutēta tuneļa malā

Maršrutēts tunelis pārraida unicast paketes starp apakštīkliem. Raidījuma un multicast kadri paliek vienā raidījuma domēnā, un VPN galapunkts ir tieši tur, kur šis domēns beidzas. Rīks, kas atrod ierīces, kliedzot segmentā, saņem klusumu, jo kliedziens nekad netika pārsūtīts.

Tas pats attiecas uz protokoliem, kas nemaz nav IP, un uz ražotāja kadriem, kas pārvietojas tieši pa Ethernet. Tos nevar maršrutēt ar nekādu konfigurāciju, tāpēc maršrutu un ugunsmūra noteikumu pievienošana atklāšanas problēmai bieži neko nemaina.

Ievērojiet, kas šajā stāvoklī vēl darbojas. Ping uz zināmu adresi un unicast savienojums ar zināmu portu parasti izdodas, jo tās ir daļas, kurām tunelis tika būvēts. Šī kombinācija, sasniedzama pēc adreses, bet atklāšanai neredzama, ir trūkstoša raidījuma domēna, nevis salauzta tīkla pazīme.

Nosauciet atkarību pirms transporta izvēles

Izlasiet rīka dokumentāciju par to, kā tas atrod ierīces un sarunājas ar tām, un pēc tam salīdziniet ar šo tabulu.

Ja visas jūsu gadījuma prasības ir pirmajā rindā, apstājieties šeit un izlabojiet maršrutēšanu. Tas ir lētāks un daudz vieglāk pārskatāms grozījums nekā jebkurš topoloģijas darbs, un tas notur apkopes sesiju klienta jau apstiprinātajā piekļuves ceļā.

Multicast atklāšana atrodas neērtā vidū. Atstarotājs vai atkārtotājs var pārsūtīt daļu no tā starp apakštīkliem, kas liek pogai darboties un klusi paplašina to, ko var sasniegt attālā puse. Uzskatiet to par apzinātu dizainu ar īpašnieku, nevis par noderīgu izvēles rūtiņu.

Ievietojiet pārvaldītu hostu segmentā un pieslēdzieties tam

Modelis, kas iztur auditu, nav spožs. Klienta apstiprināta inženierijas darbstacija ir pievienota mašīnas apkopes segmentam, un tehniķis pieslēdzas šai darbstacijai caur apstiprināto attālinātās piekļuves kanālu. Rīks darbojas tur, kur ir kabelis; cilvēks strādā no turienes, kur atrodas.

Tad nekas no tehniķa mājas tīkla nekļūst par mašīnas Ethernet daļu, un netiek veidots tilts starp divām vietām, kas nekad nav vienojušās dalīt kļūmes domēnu.

Turiet vietējo domēnu tik mazu, cik darbs atļauj. Vienam apkopes VLAN ar vienu pārvaldītu hostu ir ierobežots raidījuma apjoms, ierobežots cilpu domēns un kļūme, kas paliek rūpnīcā, nevis izplatās pa WAN saiti trijos naktī.

Dodiet šim hostam vienu darbu, īpašnieku un audita pēdas

Nosauciet īpašnieku, uzskaitiet atļauto programmatūru, definējiet, kā tā tiek labota, un pierakstiet, kuri lietotāji to var sasniegt. Turiet darba failus un akreditācijas datus piesaistītus pareizajam klientam, jo koplietots inženierijas klēpjdators, kas apmeklējis sešas vietas, ir datu robežas problēma, kas gaida atklāšanu.

Pēc tam apskatiet kanālus, ko cilvēki aizmirst. Starpliktuves sinhronizācija, failu pārsūtīšana, kartētie diski un adaptera koplietošana visi pārvieto datus pāri robežai, un attālinātās displeja sesija neko no tā nedara par velti. Izlemiet par katru atsevišķi šim darbam, nevis pārmantojiet to, ko klients dara pēc noklusējuma. Klienta izmaiņu logs arī pieder šim lēmumam, jo sasniedzamība nav tas pats, kas atļauja rīkoties.

Attiecībā uz politikas ietvaru NIST dokuments SP 800-82r3 attālināto apkopi uzskata par kontrolētu piekļuvi operētājsistēmai, kur savienojamība un aprīkojuma sekas tiek izskatītas kopā.

Vērtējiet L2 paplašinājumu kā atsevišķu dizainu

Ja kāds joprojām vēlas izstieptu Ethernet, vērtējiet to kā atsevišķu projektu ar saviem riskiem. Jautājiet, kā izskatās apvienotais raidījuma un spanning-tree domēns, kā tiek pārvaldīta adresācija starp divām organizācijām, kas notiek, kad viena puse iekrīt cilpā, un kas apstiprina izmaiņas katrā galā. Veiksmīgs laboratorijas tests neatbild ne uz vienu no šiem jautājumiem un noteikti neapstiprina ierīču savietojamību, caurlaidību vai atjaunošanos pēc saites kļūmes.

Pieņemiet vietējā hosta modeli, pierādot trīs lietas: rīks veic darbību, kurai tas eksistē, attālinātais lietotājs ir pilnvarots šim darbam, un atteiktās sistēmas paliek nesasniedzamas no šī hosta. Pēc tam atsauciet pagaidu piekļuvi saskaņotajā darba beigās un apstipriniet, ka tā ir pazudusi.

Tas atstāj klientam kontrolētu vietu vietējai apkopei, kas ir mazāks solījums nekā apvienots tīkls un daudz vieglāk izpildāms.