Zisťovanie PLC zlyháva cez VPN? Nechajte Ethernet pri stroji

Vaše tlačidlo zisťovania sa točí donekonečna, nič nenájde a v tikete stojí, že stroj je offline. Stroj je v poriadku. To, čím nástroj na tom segmente hľadá zariadenia, neprežije cestu, ktorá mu bola daná, a reflexom je natiahnuť zákazníkov Ethernet cez spojenie lokality, aby tlačidlo znova fungovalo. Najprv určte závislosť. Väčšina nástrojov údržby potrebuje trasu; keď niektorý naozaj potrebuje kábel, trvalou odpoveďou je spravovaný host vedľa stroja, nie premosťovaná sieť medzi dvoma budovami.

Prečo zisťovanie zomiera na okraji smerovaného tunela

Smerovaný tunel prenáša unicast pakety medzi podsieťami. Broadcastové a multicastové rámce zostávajú v jednej broadcastovej doméne a koncový bod VPN je presne tam, kde sa táto doména končí. Nástroj, ktorý nachádza zariadenia tým, že do segmentu kričí, dostane ticho, pretože krik sa nikdy neodovzdal ďalej.

To isté platí pre protokoly, ktoré vôbec nie sú IP, a pre rámce výrobcov, ktoré idú priamo po Ethernete. Tie nemožno smerovať žiadnou konfiguráciou, preto pridanie trás a pravidiel firewallu k problému so zisťovaním často nič nezmení.

Všimnite si, čo v tom stave ešte funguje. Ping na známu adresu a unicast pripojenie k známemu portu zvyčajne uspejú, pretože to sú časti, pre ktoré bol tunel postavený. Táto kombinácia, dostupná podľa adresy, ale neviditeľná pre zisťovanie, je znakom chýbajúcej broadcastovej domény, nie pokazenej siete.

Pomenujte závislosť skôr, než zvolíte transport

Prečítajte si dokumentáciu nástroja o tom, ako nachádza zariadenia a ako s nimi hovorí, a potom to porovnajte s touto tabuľkou.

Ak každá požiadavka vo vašom prípade stojí v prvom riadku, zastavte sa tu a opravte smerovanie. Je to lacnejšia a oveľa ľahšie kontrolovateľná zmena než akákoľvek práca s topológiou a udrží reláciu údržby v rámci prístupovej cesty, ktorú zákazník už schválil.

Multicastové zisťovanie stojí v nepríjemnom strede. Reflektor alebo opakovač môže časť z neho odovzdať cez podsiete, čo tlačidlo rozbehne a potichu rozšíri to, kam sa vzdialená strana dostane. Berte to ako zámerný návrh s vlastníkom, nie ako užitočné zaškrtávacie pole.

Umiestnite na segment spravovaný host a pripojte sa k nemu

Vzor, ktorý prežije audit, nie je okázalý. Zákazníkom schválená inženýrska pracovná stanica je pripojená k segmentu údržby stroja a technik sa k tejto stanici pripája cez schválený kanál vzdialeného prístupu. Nástroj beží tam, kde je kábel; človek pracuje odtiaľ, kde je.

Nič z domácej siete technika sa potom nestane súčasťou Ethernetu stroja a medzi dvoma lokalitami, ktoré nikdy nesúhlasili so zdieľaním domény porúch, nevznikne žiadny most.

Držte miestnu doménu takú malú, ako práca dovolí. Jedna VLAN údržby s jedným spravovaným hostom má obmedzený rozsah broadcastu, obmedzenú doménu slučiek a poruchu, ktorá zostane v závode, namiesto aby sa o tretej ráno šírila po WAN spoji.

Dajte tomu hostu jednu úlohu, vlastníka a auditnú stopu

Pomenujte vlastníka, vypíšte povolený softvér, definujte, ako sa záplatuje, a zaznamenajte, ktorí používatelia sa k nemu dostanú. Držte pracovné súbory a prihlasovacie údaje naviazané na správneho zákazníka, pretože zdieľaný inženýrsky notebook, ktorý navštívil šesť lokalít, je problém hranice dát čakajúci na objavenie.

Potom sa pozrite na kanály, ktoré ľudia zabúdajú. Synchronizácia schránky, prenos súborov, mapované disky a zdieľanie adaptéra všetky prenášajú dáta cez hranicu a relácia vzdialenej obrazovky nič z toho nerobí zadarmo. Rozhodnite o každom výslovne pre túto prácu namiesto toho, aby ste dedili, čo klient nastavuje štandardne. Do toho rozhodnutia patrí aj zmenové okno zákazníka, pretože dostupnosť nie je to isté ako povolenie konať.

Čo sa týka politického rámca, dokument NIST SP 800-82r3 chápe vzdialenú údržbu ako riadený prístup k prevádzkovému systému, kde sa konektivita a dôsledky pre zariadenia posudzujú spoločne.

Posudzujte rozšírenie L2 ako samostatný návrh

Ak niekto stále chce natiahnutý Ethernet, posudzujte to ako samostatný projekt s vlastnými rizikami. Pýtajte sa, ako vyzerá zlúčená broadcastová doména a doména spanning tree, ako sa spravuje adresovanie medzi dvoma organizáciami, čo sa stane, keď jedna strana zacyklí, a kto schvaľuje zmeny na každom konci. Úspešný laboratórny test neodpovedá na žiadnu z týchto otázok a rozhodne neoveruje kompatibilitu zariadení, priepustnosť ani obnovu po výpadku spoja.

Prijmite vzor miestneho hosta tým, že preukážete tri veci: nástroj vykonáva operáciu, pre ktorú existuje, vzdialený používateľ je na túto prácu oprávnený a zakázané systémy zostávajú z toho hosta nedostupné. Potom na dohodnutom konci práce odoberte dočasný prístup a potvrďte, že zmizol.

Zákazníkovi tak zostane kontrolované miesto na miestnu údržbu, čo je menší sľub než zlúčená sieť a omnoho ľahšie sa dodržiava.