Không phát hiện được PLC qua VPN? Giữ Ethernet tại máy

Nút phát hiện của bạn quay mãi, không tìm thấy gì, và phiếu ghi rằng máy đang ngoại tuyến. Máy vẫn bình thường. Thứ mà công cụ dùng để định vị thiết bị trên phân đoạn đó không đi qua được tuyến đường đã cấp cho nó, và phản xạ là kéo Ethernet của khách hàng qua liên kết hiện trường để nút hoạt động lại. Hãy xác định sự phụ thuộc trước. Hầu hết công cụ bảo trì cần một tuyến đường; khi một công cụ thực sự cần cáp, câu trả lời bền vững là một máy chủ được quản lý bên cạnh máy, chứ không phải một mạng được bắc cầu giữa hai tòa nhà.

Vì sao phát hiện chết ở rìa của một đường hầm được định tuyến

Một đường hầm được định tuyến mang gói unicast giữa các mạng con. Khung quảng bá và multicast nằm trong một miền quảng bá, và điểm cuối VPN chính là nơi miền đó kết thúc. Công cụ tìm thiết bị bằng cách hét vào phân đoạn chỉ nhận được sự im lặng, vì tiếng hét chưa bao giờ được chuyển tiếp.

Điều tương tự áp dụng cho các giao thức không phải IP chút nào, và cho các khung của nhà sản xuất đi trực tiếp trên Ethernet. Những thứ đó không thể định tuyến bằng bất kỳ cấu hình nào, vì vậy thêm tuyến đường và quy tắc tường lửa vào một vấn đề phát hiện thường không tạo ra thay đổi nào.

Hãy để ý điều gì vẫn hoạt động trong trạng thái đó. Ping tới một địa chỉ đã biết và kết nối unicast tới một cổng đã biết thường thành công, vì đó là những phần mà đường hầm được xây dựng cho. Sự kết hợp đó, tiếp cận được bằng địa chỉ nhưng vô hình với việc phát hiện, là dấu hiệu của một miền quảng bá bị thiếu chứ không phải mạng hỏng.

Đặt tên cho sự phụ thuộc trước khi chọn phương thức truyền

Đọc tài liệu của công cụ về cách nó tìm thiết bị và cách nó nói chuyện với chúng, rồi so sánh với bảng này.

Nếu mọi yêu cầu trong trường hợp của bạn nằm ở hàng đầu tiên, hãy dừng lại ở đây và sửa định tuyến. Đó là một thay đổi rẻ hơn và dễ xem xét hơn nhiều so với bất kỳ công việc cấu trúc liên kết nào, và nó giữ phiên bảo trì trong tuyến truy cập mà khách hàng đã phê duyệt.

Phát hiện multicast nằm ở giữa một cách khó xử. Một bộ phản xạ hoặc bộ lặp có thể chuyển tiếp một phần của nó qua các mạng con, khiến nút hoạt động và âm thầm mở rộng những gì phía xa có thể tiếp cận. Hãy coi đó là một thiết kế có chủ đích với người sở hữu, không phải một ô đánh dấu hữu ích.

Đặt một máy chủ được quản lý trên phân đoạn và truy cập từ xa vào nó

Mô thức trụ được qua kiểm toán không hào nhoáng. Một máy trạm kỹ thuật được khách hàng phê duyệt được gắn vào phân đoạn bảo trì của máy, và kỹ thuật viên kết nối tới máy trạm đó qua kênh truy cập từ xa đã được phê duyệt. Công cụ chạy ở nơi có cáp; con người làm việc từ bất cứ đâu họ ở.

Khi đó không có gì từ mạng gia đình của kỹ thuật viên trở thành một phần của Ethernet của máy, và không có cầu nối nào được tạo ra giữa hai cơ sở chưa bao giờ đồng ý chia sẻ một miền lỗi.

Giữ miền cục bộ nhỏ như công việc cho phép. Một VLAN bảo trì với một máy chủ được quản lý có phạm vi quảng bá giới hạn, miền vòng lặp giới hạn và một lỗi vẫn nằm trong nhà máy thay vì lan ra qua một liên kết WAN lúc ba giờ sáng.

Cho máy chủ đó một công việc, một người sở hữu và một dấu vết kiểm toán

Nêu tên người sở hữu, liệt kê phần mềm được phép, xác định cách nó được vá và ghi lại những người dùng nào có thể tiếp cận nó. Giữ tệp công việc và thông tin xác thực gắn với khách hàng đúng, vì một máy tính xách tay kỹ thuật dùng chung đã ghé sáu cơ sở là một vấn đề ranh giới dữ liệu đang chờ bị phát hiện.

Sau đó nhìn vào các kênh mà người ta quên. Đồng bộ clipboard, truyền tệp, ổ đĩa được ánh xạ và chia sẻ bộ điều hợp đều di chuyển dữ liệu qua ranh giới, và một phiên hiển thị từ xa không làm bất kỳ điều nào trong số đó miễn phí. Hãy quyết định từng thứ một cách rõ ràng cho công việc này thay vì kế thừa mặc định của ứng dụng khách. Cửa sổ thay đổi của khách hàng cũng thuộc quyết định đó, vì khả năng tiếp cận không giống với quyền hành động.

Về khung chính sách, tài liệu NIST SP 800-82r3 coi bảo trì từ xa là truy cập được kiểm soát vào hệ điều hành vận hành, nơi khả năng kết nối và hậu quả thiết bị được xem xét cùng nhau.

Xem xét một phần mở rộng L2 như thiết kế riêng của nó

Nếu ai đó vẫn muốn kéo dài Ethernet, hãy xem xét đó như một dự án riêng với rủi ro riêng. Hỏi miền quảng bá và miền cây khung kết hợp trông như thế nào, việc đánh địa chỉ giữa hai tổ chức được quản lý ra sao, điều gì xảy ra khi một bên bị vòng lặp, và ai phê duyệt thay đổi ở mỗi đầu. Một thử nghiệm trong phòng lab thành công không trả lời bất kỳ câu hỏi nào trong số đó, và chắc chắn không xác nhận tính tương thích thiết bị, thông lượng hay khả năng phục hồi sau khi liên kết hỏng.

Chấp nhận mô thức máy chủ cục bộ bằng cách chứng minh ba điều: công cụ thực hiện thao tác mà nó tồn tại để làm, người dùng từ xa được ủy quyền cho công việc này, và các hệ thống bị từ chối vẫn không thể tiếp cận từ máy chủ đó. Sau đó thu hồi quyền truy cập tạm thời vào cuối công việc đã thỏa thuận, và xác nhận nó đã biến mất.

Điều đó để lại cho khách hàng một nơi được kiểm soát để thực hiện bảo trì cục bộ, một lời hứa nhỏ hơn một mạng hợp nhất và dễ giữ hơn nhiều.