VPN orqali PLC topilmayaptimi? Ethernetni mashina yonida saqlang
Xizmat ko'rsatish vositalariga marshrut kerak, ko'prikli Ethernet segmenti emas. Segmentga boshqariladigan xost qo'ying va LANni cho'zish o'rniga o'sha xostni boshqaring.
Topish tugmasi cheksiz aylanadi, hech narsa topmaydi va ticketda mashina oflayn deb yozilgan. Mashina joyida. Vosita o'sha segmentdagi qurilmalarni topish uchun foydalanadigan narsa unga berilgan yo'ldan o'tmaydi va tabiiy javob tugma yana ishlashi uchun mijozning Ethernetini sayt havolasi bo'ylab cho'zishdir. Avval bog'liqlikni aniqlang. Ko'pchilik xizmat ko'rsatish vositalariga marshrut kerak; bittasiga haqiqatan kabel kerak bo'lsa, barqaror javob ikki bino o'rtasidagi ko'prikli tarmoq emas, balki mashina yonidagi boshqariladigan xostdir.
Nima uchun topish marshrutlangan tunnel chetida o'ladi
Marshrutlangan tunnel quyi tarmoqlar orasida unicast paketlarni tashiydi. Broadcast va multicast freymlar bitta broadcast domeni ichida qoladi va VPN oxirgi nuqtasi aynan o'sha domen tugaydigan joyda bo'ladi. Segmentga qarab baqirib qurilmalarni topadigan vosita faqat sukunat oladi, chunki baqiriq hech qachon uzatilmagan.
Xuddi shu narsa umuman IP bo'lmagan protokollarga va to'g'ridan-to'g'ri Ethernet ustida yuradigan ishlab chiqaruvchi freymlariga ham tegishli. Ularni hech qanday konfiguratsiya bilan marshrutlab bo'lmaydi, shuning uchun topish muammosiga marshrutlar va firewall qoidalarini qo'shish ko'pincha hech narsani o'zgartirmaydi.
O'sha holatda nima hali ishlashiga e'tibor bering. Ma'lum manzilga ping va ma'lum portga unicast ulanish odatda muvaffaqiyatli bo'ladi, chunki tunnel aynan ular uchun qurilgan. Manzil bo'yicha yetib borish mumkin, lekin topish uchun ko'rinmas bu birikma buzilgan tarmoqning emas, yetishmayotgan broadcast domenining belgisidir.
Transportni tanlashdan oldin bog'liqlikni nomlang
Vositaning qurilmalarni qanday topishi va ular bilan qanday gaplashishi haqidagi hujjatlarini o'qing, so'ng buni ushbu jadval bilan solishtiring.
| What the tool needs | Routed tunnel enough | Local segment needed |
|---|---|---|
| Unicast to a known address, such as a web interface or Modbus TCP on 502 | Yes | No |
| Broadcast or multicast discovery of unknown devices | No | Yes |
| Non-IP or vendor-specific Layer 2 frames | No | Yes |
| A tool bound to one adapter or licence keyed to a MAC address | Usually no | Usually yes |
Agar sizning holatingizdagi har bir talab birinchi qatorda bo'lsa, shu yerda to'xtang va marshrutlashni tuzating. Bu har qanday topologiya ishidan arzonroq va ancha oson ko'rib chiqiladigan o'zgarish bo'lib, xizmat sessiyasini mijoz allaqachon tasdiqlagan kirish yo'li ichida ushlab turadi.
Multicast topish noqulay o'rtada turadi. Ko'zgu yoki takrorlagich uning bir qismini quyi tarmoqlar orqali uzatishi mumkin, bu tugmani ishga tushiradi va uzoq tomon yeta oladigan narsalarni jimgina kengaytiradi. Buni egasi bor qasddan qilingan dizayn deb qarang, foydali katakcha deb emas.
Segmentga boshqariladigan xost qo'ying va unga masofadan kiring
Auditdan o'tadigan namuna yorqin emas. Mijoz tasdiqlagan injenerlik ish stansiyasi mashinaning xizmat segmentiga ulangan va texnik tasdiqlangan masofaviy kirish kanali orqali o'sha stansiyaga ulanadi. Vosita kabel turgan joyda ishlaydi; odam o'zi turgan joydan ishlaydi.
Shunda texnikning uy tarmog'idan hech narsa mashinaning Ethernetiga aylanmaydi va buzilish domenini bo'lishishga hech qachon rozi bo'lmagan ikki sayt o'rtasida ko'prik qurilmaydi.
Mahalliy domenni ish ruxsat berganicha kichik saqlang. Bitta boshqariladigan xostli bitta xizmat VLANining broadcast qamrovi cheklangan, halqa domeni cheklangan va buzilish tungi soat uchda WAN havolasi orqali tarqalish o'rniga zavod ichida qoladi.
O'sha xostga bitta ish, egasi va audit izi bering
Egasi nomini ayting, ruxsat etilgan dasturiy ta'minotni sanab bering, qanday yamalanishini belgilang va qaysi foydalanuvchilar unga yeta olishini yozib qo'ying. Ish fayllari va hisob ma'lumotlarini to'g'ri mijozga bog'lab saqlang, chunki olti saytga borgan umumiy injenerlik noutbuki topilishni kutayotgan ma'lumot chegarasi muammosidir.
So'ng odamlar unutadigan kanallarga qarang. Klipboard sinxronizatsiyasi, fayl uzatish, xaritalangan disklar va adapter almashish barchasi ma'lumotni chegara bo'ylab ko'chiradi va masofaviy displey sessiyasi ularning hech birini bepul qilmaydi. Mijozning standart sozlamalarini meros qilib olish o'rniga bu ish uchun har birini aniq hal qiling. Mijozning o'zgarish oynasi ham shu qarorga kiradi, chunki yeta olish harakat qilish ruxsati bilan bir xil emas.
Siyosat doirasiga kelsak, NIST hujjati SP 800-82r3 masofaviy xizmatni operatsion tizimga boshqariladigan kirish deb biladi, bunda ulanish va uskunaga ta'sir birga ko'rib chiqiladi.
L2 kengaytmasini alohida dizayn sifatida ko'rib chiqing
Agar kimdir hali ham Ethernetni cho'zishni xohlasa, buni o'z xatarlari bilan alohida loyiha sifatida ko'rib chiqing. Birlashgan broadcast va spanning-tree domeni qanday ko'rinishini, ikki tashkilot o'rtasida manzillash qanday boshqarilishini, bir tomon halqaga tushganda nima bo'lishini va har bir uchida o'zgarishlarni kim tasdiqlashini so'rang. Muvaffaqiyatli laboratoriya sinovi bu savollarning hech biriga javob bermaydi va qurilmalar mosligi, o'tkazuvchanlik yoki havola buzilgandan keyin tiklanishni aniq tasdiqlamaydi.
Mahalliy xost namunasini uch narsani isbotlash orqali qabul qiling: vosita o'zi uchun mavjud operatsiyani bajaradi, masofaviy foydalanuvchi bu ishga vakolatli va taqiqlangan tizimlar o'sha xostdan yetib bo'lmaydigan bo'lib qoladi. So'ng ishning kelishilgan oxirida vaqtinchalik kirishni bekor qiling va u yo'qolganini tasdiqlang.
Bu mijozga mahalliy xizmat ko'rsatish uchun boshqariladigan joy qoldiradi, bu birlashtirilgan tarmoqdan kichikroq va'da va saqlash ancha oson.