Zbulimi i PLC dështon përmes VPN? Mbajeni Ethernet pranë makinës

Butoni juaj i zbulimit rrotullohet pafundësisht, nuk gjen asgjë, dhe tiketa thotë se makina është jashtë linje. Makina është mirë. Ajo që mjeti përdor për të gjetur pajisjet në atë segment nuk i mbijeton rrugës që i është dhënë, dhe refleksi është të zgjatet Ethernet-i i klientit përgjatë lidhjes së kantierit që butoni të punojë përsëri. Së pari përcaktoni varësinë. Shumica e mjeteve të mirëmbajtjes kanë nevojë për një rrugë; kur njëri ka vërtet nevojë për kabllon, përgjigja e qëndrueshme është një host i menaxhuar pranë makinës dhe jo një rrjet i urëzuar midis dy ndërtesave.

Pse zbulimi vdes në skajin e një tuneli të rrugëzuar

Një tunel i rrugëzuar transporton paketa unicast midis nënrrjeteve. Kornizat e transmetimit dhe multicast mbeten brenda një domeni transmetimi, dhe pika fundore e VPN është pikërisht aty ku mbaron ai domen. Një mjet që i gjen pajisjet duke bërtitur në segment merr heshtje, sepse britma nuk u përcoll kurrë.

E njëjta gjë vlen për protokollet që nuk janë fare IP, dhe për kornizat e prodhuesit që shkojnë direkt mbi Ethernet. Ato nuk mund të rrugëzohen nga asnjë konfigurim, prandaj shtimi i rrugëve dhe rregullave të murit të zjarrit në një problem zbulimi shpesh nuk sjell asnjë ndryshim.

Vini re çfarë funksionon ende në atë gjendje. Një ping drejt një adrese të njohur dhe një lidhje unicast me një port të njohur zakonisht ia dalin, sepse ato janë pjesët për të cilat u ndërtua tuneli. Ai kombinim, i arritshëm sipas adresës por i padukshëm për zbulimin, është shenja e një domeni transmetimi që mungon dhe jo e një rrjeti të prishur.

Emërtoni varësinë përpara se të zgjidhni një transport

Lexoni dokumentacionin e mjetit për mënyrën se si i gjen pajisjet dhe si flet me to, pastaj krahasojeni me këtë tabelë.

Nëse çdo kërkesë në rastin tuaj qëndron në rreshtin e parë, ndaloni këtu dhe rregulloni rrugëzimin. Është një ndryshim më i lirë dhe shumë më i lehtë për t'u rishikuar sesa çdo punë topologjie, dhe e mban sesionin e mirëmbajtjes brenda rrugës së aksesit që klienti tashmë ka miratuar.

Zbulimi multicast qëndron në një mes të pakëndshëm. Një reflektor ose përsëritës mund të përcjellë një pjesë të tij përmes nënrrjeteve, gjë që e vë butonin në punë dhe zgjeron në heshtje atë që ana e largët mund të arrijë. Trajtojeni atë si një dizajn të qëllimshëm me një pronar, jo si një kuti kontrolli të dobishme.

Vendosni një host të menaxhuar në segment dhe hyni në të

Modeli që i mbijeton një auditimi nuk është i shkëlqyer. Një stacion pune inxhinierik i miratuar nga klienti lidhet me segmentin e mirëmbajtjes së makinës, dhe tekniku lidhet me atë stacion përmes kanalit të miratuar të aksesit në distancë. Mjeti punon atje ku është kablloja; personi punon nga kudo që ndodhet.

Atëherë asgjë nga rrjeti shtëpiak i teknikut nuk bëhet pjesë e Ethernet-it të makinës, dhe nuk krijohet asnjë urë midis dy kantieresh që nuk kanë rënë kurrë dakord të ndajnë një domen dështimi.

Mbajeni domenin lokal sa më të vogël sa e lejon puna. Një VLAN mirëmbajtjeje me një host të menaxhuar ka një shtrirje të kufizuar transmetimi, një domen të kufizuar ciklesh dhe një dështim që qëndron brenda fabrikës në vend që të përhapet përmes një lidhjeje WAN në orën tre të mëngjesit.

Jepini atij hosti një punë, një pronar dhe një gjurmë auditimi

Emërtoni pronarin, listoni softuerin e lejuar, përcaktoni si aplikohen arnimet dhe regjistroni cilët përdorues mund t'i arrijnë. Mbajini skedarët e punës dhe kredencialet të lidhura me klientin e saktë, sepse një laptop inxhinierik i përbashkët që ka vizituar gjashtë kantierë është një problem kufiri të dhënash që pret të zbulohet.

Pastaj shikoni kanalet që njerëzit i harrojnë. Sinkronizimi i kujtesës së përkohshme, transferimi i skedarëve, disqet e mapuara dhe ndarja e përshtatësit të gjitha i lëvizin të dhënat përtej kufirit, dhe një sesion shfaqjeje në distancë nuk e bën asnjë prej tyre falas. Vendosni për secilin në mënyrë eksplicite për këtë punë në vend që të trashëgoni atë që klienti bën si parazgjedhje. Dritarja e ndryshimeve e klientit bën pjesë gjithashtu në atë vendim, pasi arritshmëria nuk është e njëjtë me lejen për të vepruar.

Sa i përket kuadrit të politikës, dokumenti NIST SP 800-82r3 e trajton mirëmbajtjen në distancë si akses të kontrolluar në sistemin operativ, ku lidhshmëria dhe pasojat për pajisjet shqyrtohen së bashku.

Shqyrtoni një zgjatim L2 si një dizajn më vete

Nëse dikush ende e dëshiron Ethernet-in e zgjatur, shqyrtojeni si një projekt të veçantë me rreziqet e veta. Pyetni si duket domeni i kombinuar i transmetimit dhe i pemës shtrirëse, si menaxhohet adresimi midis dy organizatave, çfarë ndodh kur njëra anë bie në cikël, dhe kush i miraton ndryshimet në secilin skaj. Një test laboratori i suksesshëm nuk i përgjigjet asnjë prej këtyre pyetjeve dhe sigurisht nuk vërteton përputhshmërinë e pajisjeve, xhiron apo rikuperimin pas një dështimi lidhjeje.

Pranojeni modelin e hostit lokal duke provuar tre gjëra: mjeti kryen operacionin për të cilin ekziston, përdoruesi në distancë është i autorizuar për këtë punë, dhe sistemet e refuzuara mbeten të paarritshme nga ai host. Më pas revokoni aksesin e përkohshëm në fundin e rënë dakord të punës, dhe konfirmoni se ka ikur.

Kjo i lë klientit një vend të kontrolluar për të kryer mirëmbajtje lokale, që është një premtim më i vogël se një rrjet i bashkuar dhe shumë më i lehtë për t'u mbajtur.