Обнаружение PLC не работает через VPN? Оставьте Ethernet у машины

Кнопка обнаружения крутится бесконечно, ничего не находит, а в заявке написано, что машина не в сети. С машиной всё в порядке. То, чем инструмент ищет устройства в этом сегменте, не переживает заданный ему путь, и рефлекс — растянуть Ethernet заказчика через канал площадки, чтобы кнопка снова заработала. Сначала определите зависимость. Большинству инструментов обслуживания нужен маршрут; когда одному действительно нужен кабель, устойчивый ответ — управляемый хост рядом с машиной, а не сеть с мостом между двумя зданиями.

Почему обнаружение умирает на краю маршрутизируемого туннеля

Маршрутизируемый туннель переносит unicast-пакеты между подсетями. Кадры широковещательной и multicast-передачи остаются внутри одного широковещательного домена, а конечная точка VPN — ровно там, где этот домен заканчивается. Инструмент, который находит устройства, крича в сегмент, получает тишину, потому что крик так и не был передан дальше.

То же относится к протоколам, которые вообще не IP, и к кадрам производителя, идущим прямо по Ethernet. Их нельзя маршрутизировать никакой конфигурацией, поэтому добавление маршрутов и правил межсетевого экрана к проблеме обнаружения часто ничего не меняет.

Обратите внимание, что в этом состоянии ещё работает. Ping на известный адрес и unicast-соединение с известным портом обычно удаются, потому что это те части, для которых строился туннель. Такое сочетание — доступность по адресу, но невидимость для обнаружения — признак отсутствующего широковещательного домена, а не сломанной сети.

Назовите зависимость, прежде чем выбирать транспорт

Прочитайте документацию инструмента о том, как он находит устройства и разговаривает с ними, и сравните с этой таблицей.

Если все требования в вашем случае стоят в первой строке, остановитесь здесь и исправьте маршрутизацию. Это более дешёвое и гораздо легче проверяемое изменение, чем любая работа с топологией, и оно удерживает сеанс обслуживания внутри пути доступа, который заказчик уже одобрил.

Multicast-обнаружение стоит на неудобной середине. Отражатель или повторитель может передать часть его через подсети, отчего кнопка начинает работать и тихо расширяется то, до чего может добраться удалённая сторона. Относитесь к этому как к осознанному проекту с владельцем, а не как к полезной галочке.

Разместите управляемый хост на сегменте и подключитесь к нему

Схема, которая проходит аудит, неприглядна. Инженерная рабочая станция, одобренная заказчиком, подключена к сегменту обслуживания машины, а техник подключается к этой станции по одобренному каналу удалённого доступа. Инструмент работает там, где кабель; человек работает оттуда, где он находится.

Тогда ничего из домашней сети техника не становится частью Ethernet машины, и не создаётся мост между двумя площадками, которые никогда не соглашались делить домен отказа.

Держите локальный домен настолько малым, насколько позволяет работа. Один VLAN обслуживания с одним управляемым хостом имеет ограниченный охват широковещательной передачи, ограниченный домен петель и отказ, который остаётся внутри завода, а не распространяется по каналу WAN в три часа ночи.

Дайте этому хосту одну задачу, владельца и след аудита

Назовите владельца, перечислите разрешённое программное обеспечение, определите, как оно обновляется, и запишите, какие пользователи могут до него добраться. Держите рабочие файлы и учётные данные привязанными к правильному заказчику, потому что общий инженерный ноутбук, побывавший на шести площадках, — это проблема границы данных, ждущая обнаружения.

Затем посмотрите на каналы, которые люди забывают. Синхронизация буфера обмена, передача файлов, подключённые диски и общий доступ к адаптеру — всё это переносит данные через границу, а сеанс удалённого экрана ничего из этого не делает бесплатно. Решите по каждому из них явно для этой работы, а не наследуйте то, что клиент делает по умолчанию. Окно изменений заказчика тоже входит в это решение, поскольку доступность — не то же самое, что разрешение действовать.

Что касается политической рамки, документ NIST SP 800-82r3 рассматривает удалённое обслуживание как контролируемый доступ к операционной системе, где связность и последствия для оборудования рассматриваются вместе.

Рассматривайте расширение L2 как отдельный проект

Если кто-то всё ещё хочет растянутый Ethernet, рассматривайте это как отдельный проект с собственными рисками. Спросите, как выглядит объединённый домен широковещательной передачи и связующего дерева, как управляется адресация между двумя организациями, что происходит, когда одна сторона зацикливается, и кто утверждает изменения на каждом конце. Успешный лабораторный тест не отвечает ни на один из этих вопросов и уж точно не подтверждает совместимость устройств, пропускную способность или восстановление после отказа канала.

Примите схему с локальным хостом, доказав три вещи: инструмент выполняет операцию, для которой существует, удалённый пользователь имеет полномочия на эту работу, а запрещённые системы остаются недоступными с этого хоста. Затем отзовите временный доступ в согласованный конец работы и подтвердите, что он исчез.

Это оставляет заказчику контролируемое место для локального обслуживания, что является меньшим обещанием, чем объединённая сеть, и гораздо более легко выполнимым.