Tách mạng khách khỏi mạng thiết bị là việc phải làm trước khi có khách đầu tiên bước vào xưởng, không phải sau. Cuối năm 2017, dịch vụ Wi-Ho! Việt Nam được giới thiệu tại thị trường trong nước: cho thuê bộ phát sóng WiFi mang theo người, dùng được ở nhiều quốc gia mà không phải đăng ký chuyển vùng, mỗi thiết bị cho tối đa mười máy kết nối cùng lúc. Một chiếc hộp nhỏ bằng bàn tay, và đó chính là điểm cần chú ý.
Bài này bàn ranh giới giữa người ngoài và mạng sản xuất. Phần phân vùng sâu hơn cho tuyến thiết bị ngoài hiện trường nằm ở bài bảo mật mạng IoT Advantech, phần quy định và huấn luyện cho người vào xưởng nằm ở bài đào tạo an ninh mạng cho nhà máy.
Dịch vụ cho thuê bộ phát WiFi năm 2017
Theo giới thiệu khi đó, Wi-Ho! Việt Nam là nhánh của một doanh nghiệp Nhật Bản hoạt động trong lĩnh vực này. Khách thuê nhận thiết bị trước chuyến đi, trả tiền theo ngày, mang sang nước ngoài dùng như một điểm phát sóng cá nhân theo chuẩn 802.11 b/g/n, không phải mua SIM địa phương và không phải bật chuyển vùng.
Mô hình cho thuê đó về sau thu hẹp nhiều, khi SIM điện tử và các gói dữ liệu quốc tế mua trực tiếp trên điện thoại trở nên phổ biến. Nhưng thứ đáng chú ý ở đây không phải mô hình kinh doanh, mà là dạng thiết bị: một điểm phát sóng bỏ túi, chạy pin, dựng ra một mạng độc lập ở bất cứ chỗ nào nó được bật lên. Ngày nay hầu như mọi điện thoại đều làm được đúng việc đó.
Vì sao một bộ phát bỏ túi là vấn đề trong xưởng
Nhà máy bỏ tiền dựng tường lửa ở lối ra Internet, rồi một thiết bị bằng bao thuốc lá mở một lối khác ngay giữa xưởng. Ba tình huống hay gặp:
- Máy tính hai đường mạng. Máy tính xách tay của nhà thầu cắm dây vào tuyến thiết bị để nạp chương trình, đồng thời bắt sóng điểm phát cá nhân để tra tài liệu. Chiếc máy đó trở thành cầu nối giữa mạng điều khiển và Internet.
- Camera hoặc cảm biến lắp tạm. Thiết bị lắp thử trong dự án nhỏ được nối qua điểm phát sóng của một người, không có trong sơ đồ mạng, không ai vá firmware.
- Trùng dải sóng. Nhiều điểm phát cá nhân cùng bật làm nhiễu tuyến không dây đang dùng cho xe nâng hoặc thiết bị đọc mã, gây mất kết nối ngắt quãng rất khó truy nguyên.
Điểm chung của cả ba là các đường mạng này không có trong hồ sơ, nên không thiết bị nào của nhà máy nhìn thấy chúng.
Bốn vùng mạng tối thiểu
| Vùng | Gồm những gì | Được nói chuyện với | Ra Internet |
|---|---|---|---|
| Mạng điều khiển | Bộ điều khiển, biến tần, cảm biến, thiết bị hiện trường | Chỉ với mạng giám sát, qua đúng vài cổng dịch vụ | Không |
| Mạng giám sát | Máy tính vận hành, máy chủ dữ liệu sản xuất, máy trạm quản trị | Mạng điều khiển và một đường có kiểm soát sang văn phòng | Chỉ khi thực sự cần, qua máy trung gian |
| Mạng văn phòng | Máy tính hành chính, máy in, điện thoại nội bộ | Internet và một đường đọc báo cáo | Có, qua tường lửa |
| Mạng khách | Máy của khách tham quan, điện thoại cá nhân, máy nhà thầu khi chỉ cần tra cứu | Không nói chuyện với vùng nào khác | Có, tách hẳn |
Bốn vùng này đủ cho phần lớn nhà máy vừa. Điều quan trọng không phải số vùng mà là quy tắc: mặc định các vùng không nhìn thấy nhau, và mỗi đường thông giữa hai vùng phải được viết ra kèm lý do.
Quy định với khách, nhà thầu và thiết bị mang theo
- Điểm phát sóng cá nhân. Không bật trong khu vực sản xuất. Ai cần Internet thì dùng mạng khách.
- Máy tính của nhà thầu. Cắm vào cổng mạng được chỉ định, thuộc vùng riêng có thời hạn, chỉ nhìn thấy thiết bị cần bảo trì. Cấm bật đồng thời hai đường mạng trên cùng một máy.
- Thiết bị lắp thử. Mọi thiết bị nối mạng, kể cả lắp tạm vài ngày, phải được ghi vào sơ đồ mạng và có người chịu việc theo dõi.
- Cổng mạng trống. Cổng không dùng trên switch phải ở trạng thái tắt, không để cắm vào là chạy.
- Mật khẩu mạng khách. Đổi theo định kỳ, không dán trên tường xưởng, không dùng chung với mạng văn phòng.
Cấu hình trên switch để giữ đúng ranh giới
Quy định chỉ có hiệu lực khi thiết bị mạng thực thi nó. Bốn việc nên làm trên switch quản lý được:
- Phân vùng theo cổng. Gán mỗi cổng vào đúng vùng, kể cả cổng dành cho khách và cổng dành cho nhà thầu.
- Xác thực cổng. Bật chuẩn 802.1x kết hợp máy chủ RADIUS để thiết bị lạ cắm vào không tự có mạng.
- Khoá theo địa chỉ. Với các cổng nối thiết bị cố định, giới hạn số địa chỉ được học trên cổng.
- Theo dõi trạng thái. Bật quản lý qua SNMP và đọc nhật ký cổng, để phát hiện cổng bật tắt bất thường.
Nền tảng chung về mạng trong nhà máy trình bày ở bài mạng máy tính công nghiệp, còn lý do dùng switch công nghiệp thay switch văn phòng nằm ở bài vì sao nên dùng switch Ethernet công nghiệp.
Chọn thiết bị Advantech cho ranh giới mạng
Ranh giới giữ được hay không phụ thuộc vào switch có quản lý được hay không. Theo tài liệu hãng, EKI-7710E-2C có 8 cổng Fast Ethernet cùng 2 cổng Gigabit dạng kết hợp đồng và quang, hỗ trợ xác thực cổng theo chuẩn 802.1x với máy chủ RADIUS, quản lý qua SNMP v1/v2c/v3 và giao diện web, dự phòng vòng X-Ring Pro, nguồn vào kép dải 12 tới 48 VDC; bản EKI-7710E-2CI làm việc trong dải nhiệt độ từ âm 40 tới 75 độ C. Chi tiết ở trang switch công nghiệp EKI-7710E-2C.
Khi tuyến mạng phải chạy song song cho cả điều khiển và quản trị, dòng EKI-5525 nói được đồng thời Modbus/TCP với phần mềm giám sát và SNMP với hệ quản trị mạng, nguồn vào dải rộng 8,4 tới 52,8 VDC theo tài liệu hãng, xem trang switch công nghiệp EKI-5525MI. Các lựa chọn khác tập hợp ở bài switch công nghiệp Advantech. Danh mục máy tính công nghiệp của hãng trên site kiến thức nằm tại danh mục máy tính công nghiệp Advantech trên IPC247. Khi cần chọn máy trạm đi kèm theo điều kiện lắp đặt, dùng công cụ chọn máy theo yêu cầu.
Câu hỏi thường gặp về tách mạng khách khỏi mạng thiết bị
Vì sao bộ phát WiFi cá nhân mang vào xưởng lại nguy hiểm?
Vì nó tạo ra một đường ra Internet không đi qua tường lửa của nhà máy. Nếu máy tính đang cắm vào mạng thiết bị lại bắt sóng bộ phát đó, chiếc máy trở thành cầu nối giữa mạng điều khiển và Internet, và không có thiết bị nào của nhà máy nhìn thấy đường đi này.
Nhà máy cần tối thiểu bao nhiêu vùng mạng?
Bốn vùng là đủ cho phần lớn trường hợp: mạng điều khiển nối bộ điều khiển và thiết bị hiện trường, mạng giám sát cho máy tính vận hành và máy chủ dữ liệu, mạng văn phòng, và mạng khách hoàn toàn tách rời chỉ có đường ra Internet.
Mạng khách có nên dùng chung thiết bị mạng với mạng thiết bị không?
Có thể dùng chung switch nếu switch hỗ trợ phân vùng theo cổng và các vùng không định tuyến được sang nhau. Nhưng bộ phát sóng cho khách nên là thiết bị riêng, đặt ở khu vực tiếp khách, không đặt trong xưởng và không cắm vào switch của tuyến điều khiển.
Nhà thầu mang máy tính xách tay vào thì xử lý thế nào?
Cấp cho họ một cổng mạng thuộc vùng riêng, có thời hạn, chỉ nhìn thấy đúng thiết bị cần bảo trì. Ghi lại thời điểm mở và thời điểm đóng. Nếu chỉ cần Internet để tra tài liệu thì cho vào mạng khách, không cho vào mạng thiết bị.
Switch công nghiệp có tính năng nào giúp giữ ranh giới mạng?
Ba tính năng thường dùng là phân vùng theo cổng, xác thực cổng theo chuẩn 802.1x kết hợp máy chủ RADIUS, và quản lý qua SNMP để theo dõi trạng thái cổng. Theo tài liệu hãng, dòng EKI-7710E của Advantech có cả ba, kèm dự phòng vòng và nguồn vào kép.
Đọc thêm về thiết bị: toàn bộ máy tính công nghiệp Advantech cùng các hãng khác trên ipc247.com.
