PLC-oppdagelse feiler over en VPN? Behold Ethernet ved maskinen

Oppdagelsesknappen din snurrer i det uendelige, finner ingenting, og saken sier at maskinen er frakoblet. Maskinen har det bra. Det verktøyet bruker for å finne enheter på segmentet overlever ikke veien det har fått, og refleksen er å strekke kundens Ethernet over siteforbindelsen slik at knappen virker igjen. Avklar avhengigheten først. De fleste vedlikeholdsverktøy trenger en rute; når ett virkelig trenger kabelen, er det varige svaret en administrert vert ved siden av maskinen i stedet for et broet nettverk mellom to bygg.

Hvorfor oppdagelse dør ved kanten av en rutet tunnel

En rutet tunnel bærer unicast-pakker mellom subnett. Broadcast- og multicast-rammer blir inne i ett broadcast-domene, og VPN-endepunktet er nøyaktig der det domenet slutter. Et verktøy som finner enheter ved å rope inn i segmentet, får stillhet, fordi ropet aldri ble videresendt.

Det samme gjelder protokoller som slett ikke er IP, og leverandørrammer som går direkte på Ethernet. De kan ikke rutes av noen konfigurasjon, og derfor endrer det ofte ingenting å legge til ruter og brannmurregler i et oppdagelsesproblem.

Legg merke til hva som fortsatt virker i den tilstanden. En ping til en kjent adresse og en unicast-forbindelse til en kjent port lykkes vanligvis, fordi det er delene tunnelen ble bygget for. Den kombinasjonen, nåbar via adresse men usynlig for oppdagelse, er signaturen på et manglende broadcast-domene og ikke et ødelagt nettverk.

Navngi avhengigheten før du velger transport

Les verktøyets dokumentasjon for hvordan det finner enheter og snakker med dem, og hold det så opp mot denne tabellen.

Hvis hvert krav i saken din står i første rad, stopp her og reparer rutingen. Det er en billigere og langt lettere reviderbar endring enn noe topologiarbeid, og den holder vedlikeholdssesjonen innenfor tilgangsveien kunden allerede har godkjent.

Multicast-oppdagelse sitter i en ubehagelig midtstilling. En reflektor eller repeater kan videresende noe av det over subnett, noe som får knappen til å virke og stille utvider hva fjernsiden kan nå. Behandle det som et bevisst design med en eier, ikke som en hjelpsom avkrysningsboks.

Sett en administrert vert på segmentet og koble deg til den

Mønsteret som overlever revisjon, er uglamorøst. En kundegodkjent ingeniørarbeidsstasjon er knyttet til maskinens vedlikeholdssegment, og teknikeren kobler til den arbeidsstasjonen gjennom den godkjente fjern tilgangskanalen. Verktøyet kjører der kabelen er; personen arbeider der den er.

Da blir ingenting av teknikerens hjemmenettverk en del av maskinens Ethernet, og det lages ingen bro mellom to lokaliteter som aldri har sagt seg enige i å dele et feildomene.

Hold det lokale domenet så lite som arbeidet tillater. Ett vedlikeholds-VLAN med én administrert vert har et avgrenset broadcast-omfang, et avgrenset løkkedomene og en feil som blir inne i anlegget i stedet for å spre seg over en WAN-forbindelse klokken tre om natten.

Gi den verten én jobb, én eier og ett revisjonsspor

Navngi eieren, list opp tillatt programvare, definer hvordan den patches, og registrer hvilke brukere som kan nå den. Hold jobbfiler og legitimasjon knyttet til riktig kunde, for en delt ingeniørbærbar som har besøkt seks lokaliteter er et datagrenseproblem som venter på å bli oppdaget.

Se så på kanalene folk glemmer. Utklippstavlesynkronisering, filoverføring, tilordnede stasjoner og adapterdeling flytter alle data over grensen, og en fjernskjermsesjon gjør ingen av dem gratis. Bestem hver enkelt eksplisitt for denne jobben i stedet for å arve det klienten gjør som standard. Kundens endringsvindu hører også med i den beslutningen, siden nåbarhet ikke er det samme som tillatelse til å handle.

Når det gjelder policyrammen, behandler NIST-dokumentet SP 800-82r3 fjernvedlikehold som kontrollert tilgang til driftssystemet, der tilkobling og utstyrskonsekvenser vurderes sammen.

Vurder en L2-utvidelse som sitt eget design

Hvis noen fortsatt vil ha Ethernet strukket, vurder det som et eget prosjekt med sine egne risikoer. Spør hvordan det kombinerte broadcast- og spenntredomenet ser ut, hvordan adressering styres på tvers av to organisasjoner, hva som skjer når én side går i løkke, og hvem som godkjenner endringer i hver ende. En vellykket laboratorietest svarer ikke på noen av disse spørsmålene, og den validerer absolutt ikke enhetskompatibilitet, gjennomstrømning eller gjenoppretting etter en lenkefeil.

Godta lokalvert-mønsteret ved å bevise tre ting: verktøyet utfører operasjonen det finnes for, fjernbrukeren er autorisert for denne jobben, og avviste systemer forblir unåelige fra den verten. Tilbakekall deretter den midlertidige tilgangen ved den avtalte slutten av jobben, og bekreft at den er borte.

Det etterlater kunden med et kontrollert sted for å utføre lokal vedlikehold, noe som er et mindre løfte enn et sammenslått nettverk og langt lettere å holde.