PLC-oppdaging feilar over ein VPN? Hald Ethernet ved maskinen

Oppdagingsknappen din snurrar i det uendelege, finn ingenting, og saka seier at maskinen er fråkobla. Maskinen har det bra. Det verktøyet brukar for å finne einingar på segmentet overlever ikkje vegen det har fått, og refleksen er å strekkje Ethernetet til kunden over siteforbindinga slik at knappen verkar igjen. Avklar avhengnaden først. Dei fleste vedlikehaldsverktøy treng ei rute; når eitt verkeleg treng kabelen, er det varige svaret ein administrert vert ved sida av maskinen i staden for eit brua nettverk mellom to bygg.

Kvifor oppdaging døyr ved kanten av ein ruta tunnel

Ein ruta tunnel ber unicast-pakkar mellom subnett. Broadcast- og multicast-rammer blir inne i eitt broadcast-domene, og VPN-endepunktet er nøyaktig der det domenet sluttar. Eit verktøy som finn einingar ved å rope inn i segmentet, får stille, fordi ropet aldri vart vidaresendt.

Det same gjeld protokollar som slett ikkje er IP, og leverandørrammer som går direkte på Ethernet. Dei kan ikkje rutast av nokon konfigurasjon, og difor endrar det ofte ingenting å leggje til ruter og brannmurreglar i eit oppdagingsproblem.

Legg merke til kva som framleis verkar i den tilstanden. Ein ping til ei kjend adresse og ei unicast-forbinding til ein kjend port lukkast vanlegvis, fordi det er delane tunnelen vart bygd for. Den kombinasjonen, nåbar via adresse men usynleg for oppdaging, er signaturen på eit manglande broadcast-domene og ikkje eit øydelagt nettverk.

Namngi avhengnaden før du vel transport

Les dokumentasjonen til verktøyet for korleis det finn einingar og snakkar med dei, og hald det så opp mot denne tabellen.

Viss kvart krav i saka di står i første rad, stopp her og reparer rutinga. Det er ei billegare og langt lettare reviderbar endring enn noko topologiarbeid, og det held vedlikehaldssesjonen innanfor tilgangsvegen kunden allereie har godkjent.

Multicast-oppdaging sit i ein ubehageleg midtstilling. Ein reflektor eller repeater kan vidaresende noko av det over subnett, noko som får knappen til å verke og stille utvidar kva fjernsida kan nå. Handsame det som eit medvite design med ein eigar, ikkje som ein hjelpsam avkrysningsboks.

Set ein administrert vert på segmentet og kople deg til han

Mønsteret som overlever revisjon, er uglamorøst. Ein kundegodkjend ingeniørarbeidsstasjon er knytt til vedlikehdssegmentet til maskinen, og teknikaren koplar til den arbeidsstasjonen gjennom den godkjende fjern tilgangskanalen. Verktøyet køyrer der kabelen er; personen arbeider der han er.

Då blir ingenting av heimenettverket til teknikaren ein del av Ethernetet til maskinen, og det blir ikkje laga bru mellom to lokalitetar som aldri har sagt seg samde i å dele eit feildomene.

Hald det lokale domenet så lite som arbeidet tillèt. Eitt vedlikehalds-VLAN med éin administrert vert har eit avgrensa broadcast-omfang, eit avgrensa løkkjedomene og ein feil som blir inne i anlegget i staden for å spreie seg over ei WAN-forbinding klokka tre om natta.

Gi den verten éin jobb, éin eigar og eitt revisjonsspor

Namngi eigaren, list opp tillaten programvare, definer korleis ho blir patcha, og registrer kva brukarar som kan nå henne. Hald jobbfiler og legitimasjon knytte til rett kunde, for ein delt ingeniørberbar som har besøkt seks lokalitetar er eit datagrenseproblem som ventar på å bli oppdaga.

Sjå så på kanalane folk gløymer. Utklippstavlesynkronisering, filoverføring, tilordna stasjonar og adapterdeling flyttar alle data over grensa, og ein fjernskjermsesjon gjer ingen av dei gratis. Bestem kvar einskild eksplisitt for denne jobben i staden for å arve det klienten gjer som standard. Endringsvindauget til kunden høyrer også med i den avgjerda, sidan nåbarheit ikkje er det same som løyve til å handle.

Når det gjeld policyramma, behandlar NIST-dokumentet SP 800-82r3 fjernvedlikehald som kontrollert tilgang til driftssystemet, der tilkopling og utstyrskonsekvensar blir vurderte saman.

Vurder ei L2-utviding som sitt eige design

Viss nokon framleis vil ha Ethernet strukke, vurder det som eit eige prosjekt med sine eigne risikoar. Spør korleis det kombinerte broadcast- og spenntredomenet ser ut, korleis adressering blir styrt på tvers av to organisasjonar, kva som skjer når éi side går i løkke, og kven som godkjenner endringar i kvar ende. Ein vellukka laboratorietest svarar ikkje på noko av desse spørsmåla, og han validerer absolutt ikkje einingkompatibilitet, gjennomstrøyming eller gjenoppretting etter ein lenkefeil.

Godta lokalvert-mønsteret ved å prove tre ting: verktøyet utfører operasjonen det finst for, fjernbrukaren er autorisert for denne jobben, og avviste system blir verande unåelege frå den verten. Trekk deretter tilbake den mellombelse tilgangen ved den avtalte slutten av jobben, og stadfest at han er borte.

Det lèt kunden sitje att med ein kontrollert stad for å utføre lokalt vedlikehald, noko som er eit mindre løfte enn eit samanslått nettverk og langt lettare å halde.