Wykrywanie PLC nie działa przez VPN? Zostaw Ethernet przy maszynie

Przycisk wykrywania kręci się bez końca, nic nie znajduje, a zgłoszenie mówi, że maszyna jest offline. Maszyna jest w porządku. To, czego narzędzie używa do lokalizowania urządzeń w tym segmencie, nie przetrwa trasy, którą mu dano, a odruchem jest rozciągnięcie sieci Ethernet klienta przez łącze obiektu, żeby przycisk znów działał. Najpierw ustal zależność. Większość narzędzi serwisowych potrzebuje trasy; gdy któreś naprawdę potrzebuje kabla, trwałą odpowiedzią jest zarządzany host obok maszyny, a nie mostkowana sieć między dwoma budynkami.

Dlaczego wykrywanie umiera na krawędzi routowanego tunelu

Routowany tunel przenosi pakiety unicast między podsieciami. Ramki broadcast i multicast pozostają w jednej domenie broadcastu, a punkt końcowy VPN jest dokładnie tam, gdzie ta domena się kończy. Narzędzie, które znajduje urządzenia, krzycząc w segment, otrzymuje ciszę, bo krzyk nigdy nie został przekazany dalej.

To samo dotyczy protokołów, które wcale nie są IP, oraz ramek producenta jadących bezpośrednio po Ethernecie. Tych nie da się routować żadną konfiguracją, dlatego dodawanie tras i reguł firewalla do problemu wykrywania często niczego nie zmienia.

Zwróć uwagę, co w tym stanie jeszcze działa. Ping do znanego adresu i połączenie unicast do znanego portu zwykle się udają, bo to te części, dla których zbudowano tunel. Ta kombinacja, osiągalna po adresie, ale niewidoczna dla wykrywania, jest oznaką brakującej domeny broadcastu, a nie zepsutej sieci.

Nazwij zależność, zanim wybierzesz transport

Przeczytaj dokumentację narzędzia o tym, jak znajduje urządzenia i jak z nimi rozmawia, a potem porównaj to z tą tabelą.

Jeśli każde wymaganie w twoim przypadku jest w pierwszym wierszu, zatrzymaj się tutaj i napraw routing. To tańsza i znacznie łatwiejsza do przeglądu zmiana niż jakakolwiek praca nad topologią, a sesja serwisowa pozostaje w ścieżce dostępu, którą klient już zatwierdził.

Wykrywanie multicastu tkwi w niewygodnym środku. Reflektor lub repeater może przekazać jego część przez podsieci, co uruchamia przycisk i po cichu poszerza to, do czego może dotrzeć strona zdalna. Traktuj to jako świadomy projekt z właścicielem, a nie jako pomocne pole wyboru.

Umieść zarządzany host w segmencie i połącz się z nim

Wzorzec, który przeżywa audyt, nie jest efektowny. Zatwierdzona przez klienta stacja inżynierska jest podłączona do segmentu serwisowego maszyny, a technik łączy się z tą stacją przez zatwierdzony kanał dostępu zdalnego. Narzędzie działa tam, gdzie jest kabel; człowiek pracuje tam, gdzie jest.

Wtedy nic z sieci domowej technika nie staje się częścią Ethernetu maszyny i nie powstaje most między dwoma lokalizacjami, które nigdy nie zgodziły się dzielić domeny awarii.

Utrzymuj domenę lokalną tak małą, jak pozwala praca. Jedna VLAN serwisowa z jednym zarządzanym hostem ma ograniczony zasięg broadcastu, ograniczoną domenę pętli i awarię, która zostaje w zakładzie, zamiast rozprzestrzeniać się przez łącze WAN o trzeciej nad ranem.

Daj temu hostowi jedno zadanie, właściciela i ślad audytu

Wskaż właściciela, wymień dozwolone oprogramowanie, określ sposób aktualizacji i zapisz, którzy użytkownicy mogą do niego dotrzeć. Trzymaj pliki robocze i poświadczenia powiązane z właściwym klientem, bo wspólny laptop inżynierski, który odwiedził sześć obiektów, jest problemem granicy danych czekającym na odkrycie.

Potem spójrz na kanały, o których ludzie zapominają. Synchronizacja schowka, przesyłanie plików, mapowane dyski i udostępnianie adaptera wszystkie przenoszą dane przez granicę, a sesja zdalnego pulpitu nie robi nic z tego za darmo. Zdecyduj o każdym z nich wyraźnie dla tej pracy, zamiast dziedziczyć to, co klient robi domyślnie. Okno zmian klienta też należy do tej decyzji, bo osiągalność to nie to samo co pozwolenie na działanie.

Jeśli chodzi o ramy polityki, dokument NIST SP 800-82r3 traktuje konserwację zdalną jako kontrolowany dostęp do systemu operacyjnego, gdzie łączność i skutki dla sprzętu są rozpatrywane razem.

Oceń rozszerzenie L2 jako osobny projekt

Jeśli ktoś nadal chce rozciągniętego Ethernetu, oceń to jako odrębny projekt z własnymi ryzykami. Zapytaj, jak wygląda połączona domena broadcastu i drzewa rozpinającego, jak zarządza się adresacją między dwiema organizacjami, co się dzieje, gdy jedna strona wpada w pętlę, i kto zatwierdza zmiany na każdym końcu. Udany test laboratoryjny nie odpowiada na żadne z tych pytań i z pewnością nie potwierdza zgodności urządzeń, przepustowości ani odzyskania po awarii łącza.

Zaakceptuj wzorzec lokalnego hosta, dowodząc trzech rzeczy: narzędzie wykonuje operację, dla której istnieje, zdalny użytkownik jest upoważniony do tej pracy, a odrzucone systemy pozostają nieosiągalne z tego hosta. Następnie cofnij tymczasowy dostęp w uzgodnionym końcu pracy i potwierdź, że go nie ma.

To zostawia klientowi kontrolowane miejsce do wykonywania lokalnej konserwacji, co jest mniejszą obietnicą niż połączona sieć i znacznie łatwiejszą do dotrzymania.