VPN-ээр PLC илрүүлэлт бүтэлгүйтэж байна уу? Ethernet-ийг машин дээр үлдээгээрэй
Засварын хэрэгслүүдэд маршрут хэрэгтэй, гүүрэлсэн Ethernet сегмент биш. Сегмент дээр удирдлагын хост байрлуулж, LAN-ыг сунгахын оронд тэр хост-ыг удирдаарай.
Илрүүлэх товч тань эцэсгүй эргэлдэж, юу ч олохгүй, тасалбар дээр машин офлайн гэж бичсэн байна. Машин хэвийн байна. Хэрэгсэл тухайн сегмент дээр төхөөрөмж хайхад ашигладаг зүйл нь түүнд өгсөн замаар дамждаггүй бөгөөд товч дахин ажиллахын тулд харилцагчийн Ethernet-ийг сайтын холбоосоор сунгах нь тусгай хариу үйлдэл юм. Эхлээд хамаарлыг тодорхойлоорой. Ихэнх засварын хэрэгсэлд маршрут хэрэгтэй; нэг нь үнэхээр кабель шаардвал байнгын хариу нь хоёр барилгын хоорондох гүүрэлсэн сүлжээ биш, харин машины хажууд байрлах удирдлагын хост юм.
Маршрутлагдсан туннелийн захад илрүүлэлт яагаад үхдэг вэ
Маршрутлагдсан туннель дэд сүлжээнүүдийн хооронд unicast пакетийг зөөдөг. Broadcast болон multicast фрэймүүд нэг broadcast домэйнд үлддэг бөгөөд VPN-ийн төгсгөлийн цэг нь тэр домэйн дуусах газарт яг байдаг. Сегмент рүү хашгирч төхөөрөмж олдог хэрэгсэл чимээгүй байдал хүлээн авдаг, учир нь хашгиралт хэзээ ч дамжуулагдаагүй.
Мөн адил IP биш протоколууд болон Ethernet дээр шууд явдаг үйлдвэрлэгчийн фрэймүүдэд хамаарна. Тэдгээрийг ямар ч тохиргоогоор маршрутлах боломжгүй, тиймээс илрүүлэлтийн асуудалд маршрут болон firewall дүрэм нэмэх нь ихэвчлэн юу ч өөрчлөхгүй.
Тэр байдалд юу ажиллаж байгааг анзаараарай. Мэдэгдэж буй хаяг руу ping, мэдэгдэж буй порт руу unicast холболт ихэвчлэн амжилттай болдог, учир нь туннель тэдгээрийн төлөө баригдсан. Хаягаар хүрэх боломжтой боловч илрүүлэлтэд үл үзэгдэх энэ хослол нь эвдэрсэн сүлжээний биш, дутуу broadcast домэйны шинж юм.
Тээврийг сонгохоос өмнө хамаарлыг нэрлээрэй
Хэрэгсэл төхөөрөмжийг хэрхэн олж, тэдэнтэй хэрхэн ярьдаг тухай баримт бичгийг уншаад, дараа нь энэ хүснэгттэй харьцуулаарай.
| What the tool needs | Routed tunnel enough | Local segment needed |
|---|---|---|
| Unicast to a known address, such as a web interface or Modbus TCP on 502 | Yes | No |
| Broadcast or multicast discovery of unknown devices | No | Yes |
| Non-IP or vendor-specific Layer 2 frames | No | Yes |
| A tool bound to one adapter or licence keyed to a MAC address | Usually no | Usually yes |
Хэрэв таны тохиолдлын бүх шаардлага эхний мөрөнд байвал энд зогсоод маршрутлалтыг засаарай. Энэ нь аливаа топологийн ажлаас хямд бөгөөд хянахад хамаагүй хялбар өөрчлөлт бөгөөд засварын сессийг харилцагчийн аль хэдийн зөвшөөрсөн хандалтын зам дотор байлгадаг.
Multicast илрүүлэлт эвгүй дунд байрладаг. Тусгагч эсвэл давтагч түүний нэг хэсгийг дэд сүлжээнүүдээр дамжуулж чаддаг нь товчийг ажиллуулж, алсын тал хаана хүрч чадахыг чимээгүй өргөжүүлдэг. Үүнийг эзэнтэй зориудын загвар гэж үзээрэй, тусламжтай чагтлах хайрцаг гэж биш.
Сегмент дээр удирдлагын хост байрлуулж, түүн рүү алсаас холбогдоорой
Аудитыг давдаг загвар нь гялалздаггүй. Харилцагчийн зөвшөөрсөн инженерийн ажлын станц машины засварын сегментэд холбогдсон бөгөөд техникч зөвшөөрөгдсөн алсын хандалтын сувгаар тэр станц руу холбогддог. Хэрэгсэл кабель байгаа газарт ажилладаг; хүн өөрөө байгаа газраас ажилладаг.
Тэгвэл техникчийн гэрийн сүлжээний юу ч машины Ethernet-ийн хэсэг болохгүй бөгөөд эвдрэлийн домэйныг хуваалцахыг хэзээ ч зөвшөөрөөгүй хоёр сайтын хооронд гүүр үүсэхгүй.
Ажил зөвшөөрөх хэмжээнд орон нутгийн домэйныг жижиг байлгаарай. Нэг удирдлагын хосттой нэг засварын VLAN нь хязгаарлагдмал broadcast хүрээ, хязгаарлагдмал гогцооны домэйн, шөнийн гурван цагт WAN холбоосоор тархахын оронд үйлдвэр дотор үлдэх эвдрэлтэй.
Тэр хост-т нэг ажил, нэг эзэн, нэг аудитын мөр өгөөрэй
Эзнийг нэрлэж, зөвшөөрөгдсөн программыг жагсааж, хэрхэн нөхөгддөг талыг тодорхойлж, аль хэрэглэгчид хүрч болохыг бүртгээрэй. Ажлын файл болон итгэмжлэлийг зөв харилцагчид холбож байлгаарай, учир нь зургаан сайтад очсон хуваалцсан инженерийн зөөврийн компьютер бол илрүүлэхийг хүлээж буй өгөгдлийн хил хязгаарын асуудал юм.
Дараа нь хүмүүсийн мартдаг сувгуудыг хараарай. Самбарын синхрончлол, файл дамжуулалт, зураглагдсан диск, адаптерийн хуваалцалт бүгд өгөгдлийг хил хязгаараар зөөдөг бөгөөд алсын дэлгэцийн сесс эдгээрийн аль нэгийг ч үнэгүй хийдэггүй. Клиентийн өгөгдмөл үйлдлийг өвлөхийн оронд энэ ажлын хувьд тус бүрээр нь тодорхой шийдээрэй. Харилцагчийн өөрчлөлтийн цонх мөн тэр шийдвэрт хамаарна, учир нь хүрэх боломж нь үйлдэх зөвшөөрөлтэй ижил биш.
Бодлогын хүрээний хувьд NIST-ийн баримт бичиг SP 800-82r3 алсын засварыг үйл ажиллагааны систем рүү хяналттай хандалт гэж үздэг бөгөөд холболт болон тоног төхөөрөмжийн үр дагаврыг хамт авч үздэг.
L2 өргөтгөлийг өөрийн гэсэн загвар гэж хянаарай
Хэрэв хэн нэгэн Ethernet-ийг сунгахыг хүсэж байгаа бол өөрийн эрсдэлтэй тусдаа төсөл гэж хянаарай. Нэгдсэн broadcast болон spanning-tree домэйн ямар байх, хоёр байгууллагын хооронд хаяглалт хэрхэн удирдагдах, нэг тал гогцоонд орвол юу болох, тал бүрд өөрчлөлтийг хэн зөвшөөрөх талаар асуугаарай. Амжилттай лабораторийн туршилт эдгээр асуултын аль нэгэнд хариулдаггүй бөгөөд төхөөрөмжийн нийцэл, дамжуулах чадвар, холбоосын эвдрэлийн дараах сэргэлтийг батлахгүй нь лавтай.
Орон нутгийн хост загварыг гурван зүйлийг нотлох замаар хүлээн зөвшөөрөөрэй: хэрэгсэл өөрийн зориулалтын үйлдлийг гүйцэтгэдэг, алсын хэрэглэгч энэ ажилд эрх бүхий, хасагдсан системүүд тэр хост-оос хүрэхгүй хэвээр үлддэг. Дараа нь ажлын тохирсон төгсгөлд түр хандалтыг цуцалж, тэр арилсныг баталгаажуулаарай.
Энэ нь харилцагчид орон нутгийн засвар хийх хяналттай газрыг үлдээдэг бөгөөд энэ нь нэгдсэн сүлжээнээс жижиг амлалт бөгөөд биелүүлэхэд хамаагүй хялбар юм.