Виявлення PLC не працює через VPN? Залиште Ethernet біля машини

Кнопка виявлення крутиться без кінця, нічого не знаходить, а в заявці написано, що машина не в мережі. З машиною все гаразд. Те, чим інструмент шукає пристрої в цьому сегменті, не переживає заданий йому шлях, і рефлекс — розтягнути Ethernet замовника через канал майданчика, щоб кнопка знову запрацювала. Спершу визначте залежність. Більшості інструментів обслуговування потрібен маршрут; коли одному справді потрібен кабель, стійка відповідь — керований хост біля машини, а не мережа з мостом між двома будівлями.

Чому виявлення вмирає на краю маршрутизованого тунелю

Маршрутизований тунель переносить unicast-пакети між підмережами. Кадри широкомовної та multicast-передачі залишаються в одному широкомовному домені, а кінцева точка VPN — саме там, де цей домен закінчується. Інструмент, який знаходить пристрої, кричачи в сегмент, отримує тишу, бо крик так і не був переданий далі.

Те саме стосується протоколів, які взагалі не є IP, і кадрів виробника, що йдуть прямо по Ethernet. Їх не можна маршрутизувати жодною конфігурацією, тому додавання маршрутів і правил міжмережевого екрана до проблеми виявлення часто нічого не змінює.

Зверніть увагу, що в цьому стані ще працює. Ping на відому адресу та unicast-з'єднання з відомим портом зазвичай вдаються, бо це ті частини, для яких будувався тунель. Таке поєднання — доступність за адресою, але невидимість для виявлення — є ознакою відсутнього широкомовного домену, а не зламаної мережі.

Назвіть залежність, перш ніж обирати транспорт

Прочитайте документацію інструмента про те, як він знаходить пристрої та розмовляє з ними, і порівняйте з цією таблицею.

Якщо кожна вимога у вашому випадку стоїть у першому рядку, зупиніться тут і виправте маршрутизацію. Це дешевша й значно легша для перегляду зміна, ніж будь-яка робота з топологією, і вона тримає сеанс обслуговування в межах шляху доступу, який замовник уже схвалив.

Multicast-виявлення стоїть на незручній середині. Відбивач або повторювач може передати частину його через підмережі, від чого кнопка починає працювати й тихо розширюється те, до чого може дістатися віддалена сторона. Ставтеся до цього як до свідомого проєкту з власником, а не як до корисної позначки.

Розмістіть керований хост на сегменті й підключіться до нього

Схема, яка проходить аудит, непоказна. Інженерна робоча станція, схвалена замовником, під'єднана до сегмента обслуговування машини, а технік підключається до цієї станції через схвалений канал віддаленого доступу. Інструмент працює там, де кабель; людина працює звідти, де вона є.

Тоді ніщо з домашньої мережі техніка не стає частиною Ethernet машини, і не створюється міст між двома майданчиками, які ніколи не погоджувалися ділити домен відмови.

Тримайте локальний домен настільки малим, наскільки дозволяє робота. Один VLAN обслуговування з одним керованим хостом має обмежений обсяг широкомовної передачі, обмежений домен петель і відмову, що залишається всередині заводу, а не поширюється каналом WAN о третій годині ночі.

Дайте цьому хосту одне завдання, власника й слід аудиту

Назвіть власника, перелічіть дозволене програмне забезпечення, визначте, як воно оновлюється, і запишіть, які користувачі можуть до нього дістатися. Тримайте робочі файли й облікові дані прив'язаними до правильного замовника, бо спільний інженерний ноутбук, що побував на шести майданчиках, — це проблема межі даних, яка чекає на виявлення.

Потім подивіться на канали, які люди забувають. Синхронізація буфера обміну, передавання файлів, підключені диски й спільний доступ до адаптера — усе це переносить дані через межу, а сеанс віддаленого екрана нічого з цього не робить безкоштовно. Вирішіть щодо кожного з них явно для цієї роботи, а не успадковуйте те, що клієнт робить за замовчуванням. Вікно змін замовника теж належить до цього рішення, оскільки доступність — не те саме, що дозвіл діяти.

Що стосується політичної рамки, документ NIST SP 800-82r3 розглядає віддалене обслуговування як контрольований доступ до операційної системи, де зв'язність і наслідки для обладнання розглядаються разом.

Розгляньте розширення L2 як окремий проєкт

Якщо хтось усе ще хоче розтягнутий Ethernet, розгляньте це як окремий проєкт із власними ризиками. Запитайте, як виглядає об'єднаний домен широкомовної передачі та кістякового дерева, як керується адресація між двома організаціями, що відбувається, коли одна сторона зациклюється, і хто схвалює зміни на кожному кінці. Успішний лабораторний тест не відповідає на жодне з цих питань і точно не підтверджує сумісність пристроїв, пропускну здатність чи відновлення після відмови каналу.

Прийміть схему з локальним хостом, довівши три речі: інструмент виконує операцію, для якої існує, віддалений користувач має повноваження на цю роботу, а заборонені системи залишаються недоступними з цього хоста. Потім відкличте тимчасовий доступ у погоджений кінець роботи й підтвердьте, що він зник.

Це залишає замовникові контрольоване місце для локального обслуговування, що є меншою обіцянкою, ніж об'єднана мережа, і значно легшим у виконанні.