SMConnect - VPN с двумя серверами (Matrix/SMH4)

[ailcat]

В роли серверов SMconnect - Matrix, в роли клиентов - любой с поддержкой SMConnect (Matrix, SMH4 или Trim).
Условная схема сети - во вложении.

Основной контроллер-сервер - ведет непрерывный обмен с клиентами (поддерживает актуальность данных) и обеспечивает данными диспетчера. Задействует основной и резервный каналы (LAN и 3G) связи
Локальный контроллер-сервер - 1 раз в 2 минуты запрашивает данные в своей сети и обеспечивает их архивирование. При подключении локального оператора - переходит на непрерывный обмен с контроллерами-клиентами в его локальной сети (поддерживает актуальность данных), после отключения оператора - возвращается к периодичности запросов 1 раз в 2 минуты. Задействует только LAN

Вопрос:
1. Возможна ли реализация такой сети средствами SMconnect?
2. Будет ли при этом поддерживаться трансляция web-запросов на контроллер-клиент при обращении через любой из серверов?

Дополнительный вопрос:
3. Не совсем разобрался с адресацией сети Modbus/TCP. Я правильно понимаю, что для каждого слейва нужно задавать разные и IP, и адрес Modbus? (или адрес Modbus при обмене по Modbus/TCP "по барабану" и достаточно лишь его совпадение с установленным на слейве?)
Вопрос возник в связи с тем, что к основному серверу (у диспетчера) могут быть подключены больше 255 клиентов (хотя в пределах локального объекта их будет не больше нескольких десятков)...

[nizercat]

Как мог заметить на шлюзе от ICP DAS у разных слейвов может быть один адрес , но разные порты 502,503,...
Возможно это частный случай с использованием шлюза

[ailcat]

Цитата

Сообщение от nizercat

Как мог заметить

Да с этой частью вроде разобрался - Modbus/RTU адрес используется шлюзом Ethernet/RS485, тогда как устройство непосредственно обрабатывающее Modbus/TCP его должно игнорировать. Но это же Сегнетикс, и у них своё видение некоторых требований стандарта (уже сталкивался) - поэтому и пытался уточнить.

Но в любом случае, главным вопросом является возможность поднятия двух независимых каналов VPN "штатными средствами" контроллера...

[Ilya J.]

А где вложение?

[Arsie]

Цитата:

Сообщение от ailcat

устройство непосредственно обрабатывающее Modbus/TCP его должно игнорировать. Но это же Сегнетикс, и у них своё видение некоторых требований стандарта

Вы должны изучить вопрос перед тем, как делать экспертное заключение. Почему не изучаете?

Цитата:

Сообщение от ailcat

Вопрос:
1. Возможна ли реализация такой сети средствами SMconnect?

Цитата:

Сообщение от ailcat

2. Будет ли при этом поддерживаться трансляция web-запросов на контроллер-клиент при обращении через любой из серверов?

В поле, где указывается адрес сервера, можно через запятую указать несколько адресов. Клиент, при недоступности первого адреса переключится на второй и далее.

Формально, это предназначено для доступа к одному серверу по нескольким каналам, но будет работать и с несколькими серверами. Новый сервер перевыпустит сертификаты и пересоздаст сеть. Будет перерыв в работе сети до часу, но она останется работоспособна.

Справка: https://dl.segnetics.com/WebHelp/SMConnect/smc_btns.htm

Я бы посоветовал создать сеть, дать авторизоваться всем клиентам и скопировать сертификаты с основного сервера на резервный. Благодаря этой ручной операции будет происходить "бесшовный" переход с сервера на сервер - клиенты даже не поймут, что это другой сервер.

Цитата:

Сообщение от ailcat

Дополнительный вопрос:
3. Не совсем разобрался с адресацией сети Modbus/TCP. Я правильно понимаю, что для каждого слейва нужно задавать разные и IP, и адрес Modbus? (или адрес Modbus при обмене по Modbus/TCP "по барабану" и достаточно лишь его совпадение с установленным на слейве?)

Важны тот и другой адреса. В вашем случае адрес modbus можно иметь один и тот же на каждом слейве.


Добавлено через 2 минуты

Цитата:

Сообщение от ailcat

Но в любом случае, главным вопросом является возможность поднятия двух независимых каналов VPN "штатными средствами" контроллера...

Два канала VPN это то же самое, что два порта Эзернет. Со всеми вытекающими проблемами маршрутизации.

Поэтому главным вопросом скорее является более углублённое изучение модели OSI. Это позволит не отвлекаться на изначально бессмысленные решения.

[ailcat]

Цитата:

Сообщение от Arsie

Клиент, при недоступности первого адреса переключится на второй и далее. <...> Справка: https://dl.segnetics.com/WebHelp/SMConnect/smc_btns.htm. Благодаря этой ручной операции будет происходить "бесшовный" переход с сервера на сервер - клиенты даже не поймут, что это другой сервер.

Вы опять подменяете заданный вопрос на удобный вам

Вот только задача состоит не в организации резервного сервера - а в организации дополнительного защищенного канала, не зависящего от работоспособности основной VPN.
Основная VPN всегда работает между клиентами и диспетчером по основному и резервному каналам (размер города).
Но в локальной сети объекта (квартала) есть еще одна "операторская" с оператором, который приходит туда "иногда". И, придя, должен иметь доступ как к контроллерам в локальной сети объекта, так и к архиву того, что с ними было раньше - независимо от того, есть ли в этот момент с объекта доступ в интернет или нет. Я бы хотел. чтобы канал от "операторской" до любого контроллера в сети тоже был защищенным (через VPN).

Цитата:

Сообщение от Arsie

Важны тот и другой адреса. В вашем случае адрес modbus можно иметь один и тот же на каждом слейве.

Спасибо за уточнение.

Цитата:

Сообщение от Arsie

Два канала VPN это то же самое, что два порта Эзернет. Со всеми вытекающими проблемами маршрутизации.

ни разу не сталкивался с проблемами маршрутизации при обращении к компьютеру с двумя сетевыми портами из двух несвязанных сетей.

[Arsie]

Цитата:

Сообщение от ailcat

ни разу не сталкивался с проблемами маршрутизации при обращении к компьютеру с двумя сетевыми портами из двух несвязанных сетей.

Их и не должно быть. Проблемы в обратную сторону.


Добавлено через 2 минуты

Цитата:

Сообщение от ailcat

Вот только задача состоит не в организации резервного сервера - а в организации дополнительного защищенного канала, не зависящего от работоспособности основной VPN.
Основная VPN всегда работает между клиентами и диспетчером по основному и резервному каналам (размер города).
Но в локальной сети объекта (квартала) есть еще одна "операторская" с оператором, который приходит туда "иногда". И, придя, должен иметь доступ как к контроллерам в локальной сети объекта, так и к архиву того, что с ними было раньше - независимо от того, есть ли в этот момент с объекта доступ в интернет или нет. Я бы хотел. чтобы канал от "операторской" до любого контроллера в сети тоже был защищенным (через VPN).

Зачем для этого иметь две сети? Можно и одной ограничиться.

[ailcat]

Цитата:

Сообщение от Arsie

Зачем для этого иметь две сети? Можно и одной ограничиться.

Только до тех пор, когда есть устойчивая связь (интернет) между всеми "операторскими" и "диспетчерской".
Что хорошо работает в теории и не очень - на практике.

Что будет делать инженер (оператор), приехавший на "отвалившийся" объект (в котором по-прежнему прекрасно функционирует ЛВС), но по резервному каналу клиенты отдают данные не ему, а диспетчеру?
Аналогично - что будет делать диспетчер, если сервер будет локальным, и объект благополучно отвалится от интернета?
P.S.
А еще есть парочка объектов (под Середнево и под Зеленоградом), где локалки вообще нет, а вышки сотовой связи с незавидной регулярностью отказывают в соединении из-зи перегрузки (ну приехал инженер, увидел текущее состоянии - а что было до его приезда как узнать, если с "большой землей" и основным сервером VPN связи нет?).

Есть, конечно вариант решения "в лоб" - оставить VPN только на основном канале (с диспетчерской), а второй канал по локальной сети оставить незащищенным (для контроля-то не страшно - а для управления добежит до "клиента", это почти везде меньше километра)... Вот только выглядит этот костыль уж больно некрасиво

[Arsie]

Цитата:

Сообщение от ailcat

Только до тех пор, когда есть устойчивая связь (интернет) между всеми "операторскими" и "диспетчерской".
Что хорошо работает в теории и не очень - на практике.

Хорошо, я задам вопрос чуть иначе: зачем для всего этого в контроллере иметь "две дырки"? Если связь будет плохая и канал единственный, то обе сетки упадут одновременно. Если канала два, то всё прекрасно будет работать и через одну сетку.

Единственное, что мне может придти в голову - это если захотеть развести сервисников и "город" по независимым сетям. Но к надёжности связи эта задача не имеет никакого отношения.

Поэтому я вас и не понимаю. Вроде задачу одну ставите, а методы используете совсем другие. Это мне напоминает американцев/европейцев, которые типа для установления мира Югославию бомбят или Каддафи устраняют. Тоже, говорят одно, а по делам видно, что делают совсем другое.