Служебные протоколы контроллера: время, мониторинг, доступ
Кроме протоколов, по которым идут данные объекта, в контроллере работает набор служебных: они отвечают за точное время, наблюдение за состоянием самого устройства, выгрузку файлов и доступ к настройкам. На них редко смотрят при проектировании и почти всегда вспоминают при разборе инцидентов.
NTP и SNTP: точное время
Время в контроллере — не удобство, а часть данных: метка события определяет, в каком порядке всё произошло. Если часы двух устройств разошлись на секунды, восстановить последовательность аварии по их журналам невозможно.
Синхронизация выполняется по протоколу NTP (упрощённый вариант — SNTP), обмен идёт по UDP, порт 123. Практические моменты:
- Источник. Это может быть сервер точного времени в сети объекта, приёмник спутникового сигнала или вышестоящий контроллер. Чем ближе источник, тем меньше разброс задержек.
- Период опроса. Частая синхронизация не повышает точность: важнее стабильность собственного хода часов между сеансами. Разумный период — минуты, а не секунды.
- Скачки времени. Резкий перевод часов назад ломает порядок записей в архивах. Правильное поведение — плавное подтягивание, а разовый скачок допустим только при старте.
- Часовой пояс. Внутри системы время удобнее хранить в единой шкале, а пояс применять при отображении. Расхождение «на три часа» — почти всегда следствие того, что где-то применили пояс дважды.
SNMP: наблюдение за состоянием
SNMP отвечает на вопрос «как себя чувствует само устройство»: сколько времени работает, что с интерфейсами, не перегружена ли память. Опрос идёт по UDP на порт 161, уведомления устройство шлёт само на порт 162.
Что полезно знать при настройке:
- Версии. В v1 и v2c доступ определяется строкой сообщества — по сути паролем, который передаётся открытым текстом. В v3 появились аутентификация и шифрование; если сеть не изолирована, выбирать стоит её.
- Идентификаторы. Каждый параметр адресуется числовым идентификатором, а его человекочитаемое описание лежит в файле описания. Стандартный набор — время работы, состояние интерфейсов, счётчики трафика — одинаков у всех устройств, а всё специфическое производитель описывает своим файлом.
- Уведомления. Опрос раз в минуту заметит пропажу связи через минуту; уведомление придёт сразу. Практика — сочетать: опрос как основа, уведомления для срочного.
- Строка сообщества по умолчанию. Оставленная неизменной, она даёт любому в сети карту устройства. Это первое, что меняют при вводе в работу.
FTP: выгрузка файлов и архивов
FTP применяется для того, что не укладывается в потоковый обмен: архивы, журналы, файлы конфигурации, обновления. Две особенности, которые чаще всего мешают:
- Активный и пассивный режим. В активном соединение для данных открывает сервер в сторону клиента, и межсетевой экран его обычно блокирует. Пассивный режим работает почти всегда — с него и стоит начинать при разборе «список каталога не открывается».
- Открытый канал. Обычный FTP передаёт и пароль, и содержимое файлов без шифрования. В сетях, выходящих за периметр объекта, его либо заменяют защищённым вариантом, либо заворачивают в туннель.
HTTP и HTTPS: веб-доступ
Через веб-интерфейс выполняются настройка и диагностика. Здесь достаточно трёх правил: закрыть доступ из внешних сетей, включить защищённое соединение там, где доступ идёт не по локальной линии, и сменить учётные данные по умолчанию. Если устройство доступно из корпоративной сети, ограничение по адресам источника даёт больше, чем сложный пароль.
Telnet: консоль и её риски
Telnet удобен для диагностики: подключился, посмотрел состояние, перезапустил службу. Но обмен идёт открытым текстом, включая учётные данные, и любой, кто видит трафик, получает доступ. Разумный подход: держать его выключенным в обычной работе и включать на время пусконаладки, а при возможности использовать защищённую консоль. Тот же принцип относится к любым отладочным портам, оставшимся «на всякий случай».
Что проверить при вводе в работу
| Проверка | Почему важно |
|---|---|
| Время синхронизировано, источник доступен, расхождение в пределах требуемого | Иначе метки событий в архивах несопоставимы |
| Часовой пояс и шкала времени согласованы со всей системой | Типовая причина расхождения архивов «ровно на N часов» |
| Изменены пароли и строки доступа по умолчанию | Значения по умолчанию известны всем |
| Выключены неиспользуемые службы | Каждая открытая служба — точка входа и нагрузка |
| Настроен мониторинг состояния устройства, а не только проверка доступности | Прибор может отвечать на запросы и при этом не собирать данные |
| Проверена выгрузка архивов в том режиме, в котором она будет работать | Режим FTP и права доступа выясняются в первый же аварийный день |