การดักจับทราฟฟิก EtherNet/IP จาก Allen-Bradley 842E

แล็ปท็อปที่เชื่อมต่อกับสวิตช์แบบจัดการได้ตัวเดียวกับเอ็นโค้ดเดอร์ Allen-Bradley 842E จะไม่เห็นทราฟฟิกแบบเป็นคาบของเอ็นโค้ดเดอร์โดยอัตโนมัติ โดยปกติสวิตช์จะส่งต่อเฟรมยูนิแคสต์ไปยังพอร์ตปลายทางเท่านั้น ดังนั้นเครื่องวิเคราะห์อาจแสดงข้อมูลแทบไม่มีเลย ขณะที่คอนโทรลเลอร์รายงานการหมดเวลาของ I/O

การจับข้อมูลที่มีประโยชน์ควรเริ่มจากสมมติฐานเกี่ยวกับความขัดข้องที่ทดสอบได้ และจุดจับข้อมูลที่สามารถสังเกตเฟรมที่เกี่ยวข้องได้

กำหนดคำถามก่อนเก็บแพ็กเก็ต

เขียนอาการในรูปแบบที่วัดผลได้ ตัวอย่างเช่น การหมดเวลาของการเชื่อมต่อระหว่างการเปลี่ยนสถานะของเครื่องจักรบางช่วง ค่าจากเอ็นโค้ดเดอร์หยุดเปลี่ยน การเชื่อมต่อใหม่ซ้ำ ๆ หรือข้อมูลตำแหน่งมาถึงช้ากว่าที่คอนโทรลเลอร์คาดไว้ ให้บันทึกรหัสข้อขัดข้องของคอนโทรลเลอร์ เวลา ไฟแสดงสถานะของเอ็นโค้ดเดอร์ และสถานะพอร์ตของสวิตช์

ตัดสินใจว่าหลักฐานใดจะสนับสนุนหรือหักล้างแต่ละสมมติฐาน หากคำถามคือเฟรมออกจากเอ็นโค้ดเดอร์หรือไม่ ให้ทำมิเรอร์พอร์ตที่เชื่อมต่อกับเอ็นโค้ดเดอร์ หากต้องการตรวจสอบว่าเฟรมไปถึงอัปลิงก์ของคอนโทรลเลอร์หรือไม่ ให้สังเกตลิงก์นั้น การจับข้อมูลเพียงด้านเดียวของสวิตช์ระหว่างทางอาจไม่สามารถระบุตำแหน่งที่ข้อมูลสูญหายได้เสมอไป

สามารถดูฮาร์ดแวร์เอ็นโค้ดเดอร์ได้ในหมวดหมู่เซ็นเซอร์ ส่วนสวิตช์แบบจัดการได้และอะแดปเตอร์เครือข่ายอยู่ภายใต้หมวดหมู่การสื่อสารและเครือข่าย

ทำความเข้าใจเส้นทางเครือข่ายของ 842E

Rockwell Automation ระบุว่า 842E เป็นตระกูลเอ็นโค้ดเดอร์สัมบูรณ์ EtherNet/IP ที่มีพอร์ตอีเทอร์เน็ตคู่ เพื่อรองรับโทโพโลยีเชิงเส้นและ Device Level Ring รายละเอียดของแค็ตตาล็อกและการกำหนดค่าโครงการจะเป็นตัวกำหนดการเชื่อมต่อข้อมูล แอสเซมบลี ช่วงเวลาของแพ็กเก็ตที่ร้องขอ และลักษณะการวินิจฉัย

บันทึกพอร์ตจริงทั้งสองพอร์ต การตั้งค่า IP การเชื่อมต่อคอนโทรลเลอร์ โทโพโลยี เฟิร์มแวร์ และสถานะว่า Device Level Ring ทำงานอยู่หรือไม่ ในโทโพโลยีเชิงเส้น สายหรืออุปกรณ์ปลายทางที่อยู่ถัดไปอาจส่งผลต่อทราฟฟิกผ่านเอ็นโค้ดเดอร์ ในวงแหวน เหตุการณ์ด้านโทโพโลยีจะเพิ่มหลักฐานที่ต้องนำไปเทียบกับข้อขัดข้องของการเชื่อมต่อ

อย่าสันนิษฐานว่าพอร์ตที่อยู่ใกล้คอนโทรลเลอร์ที่สุดจะเป็นจุดจับข้อมูลที่มีประโยชน์เพียงจุดเดียว ให้วาดเส้นทางจริง รวมถึงพอร์ตสวิตช์ อัปลิงก์ ตัวควบคุมวงแหวน ตัวแปลงสื่อ และเส้นทางสำรองทั้งหมด

เลือกวิธีจับข้อมูลที่ไม่รบกวนระบบ

โดยทั่วไป เซสชันมิเรอร์ของสวิตช์แบบจัดการได้เป็นวิธีที่รบกวนระบบน้อยที่สุด กำหนดแหล่งที่มาเป็นพอร์ตเอ็นโค้ดเดอร์ พอร์ตคอนโทรลเลอร์ หรืออัปลิงก์ตามสมมติฐานที่ต้องการทดสอบ ตั้งค่าพอร์ตที่เชื่อมต่อกับเครื่องวิเคราะห์เป็นปลายทาง และยืนยันว่สวิตช์ทำมิเรอร์ทราฟฟิกขาเข้า ขาออก หรือทั้งสองทิศทาง

แท็ปเครือข่ายแบบพาสซีฟที่ออกแบบมาโดยเฉพาะเป็นอีกทางเลือกหนึ่ง เมื่อสถาปัตยกรรมและขั้นตอนการหยุดระบบอนุญาต อย่าใส่สวิตช์ที่ไม่มีการจัดการหรือฮับสำนักงานทั่วไปเข้าไปในเส้นทางควบคุมที่กำลังทำงาน การเปลี่ยนแปลงดังกล่าวอาจเปลี่ยนโทโพโลยี คุณภาพการให้บริการ การจัดการมัลติแคสต์ การเจรจาลิงก์ และจังหวะการเกิดข้อขัดข้อง

ใช้อินเทอร์เฟซเฉพาะสำหรับเครื่องวิเคราะห์ ปิดใช้งานโปรโตคอลและบริการที่ไม่จำเป็นตามที่ขั้นตอนการปฏิบัติงานอนุญาต เครื่องวิเคราะห์ควรทำหน้าที่สังเกตเท่านั้น ไม่ควรประกาศอุปกรณ์ ขอรับที่อยู่ หรือกลายเป็นอุปกรณ์อีกตัวหนึ่งในเครือข่ายควบคุม

ตรวจสอบว่ามิเรอร์ให้ข้อมูลที่ถูกต้อง

สร้างหรือระบุเฟรมที่ทราบแน่ชัดหนึ่งเฟรม แล้วตรวจสอบว่าเฟรมนั้นปรากฏบนเครื่องวิเคราะห์ ยืนยันว่ามองเห็นทั้งสองทิศทางเมื่อจำเป็น เซสชันมิเรอร์อาจไม่รวมข้อผิดพลาดของชั้นกายภาพ อาจทำแพ็กเก็ตหล่นเมื่อพอร์ตปลายทางมีทราฟฟิกเกินความจุ หรืออาจคัดลอกเพียงทิศทางเดียว

เปรียบเทียบความเร็วของพอร์ตต้นทางกับความจุของปลายทางมิเรอร์ การทำมิเรอร์ทั้งสองทิศทางของอัปลิงก์ความเร็วหนึ่งกิกะบิตที่มีโหลดสูงไปยังพอร์ตความเร็วหนึ่งกิกะบิตพอร์ตเดียว อาจทำให้แบนด์วิดท์ของปลายทางเกินขีดจำกัด ลดขอบเขตแหล่งที่มาหรือช่วงเวลาการจับข้อมูล แทนที่จะสันนิษฐานว่าช่องว่างทุกช่วงเกิดขึ้นบนเครือข่ายควบคุม

บันทึกรุ่นสวิตช์ เฟิร์มแวร์ การกำหนดค่ามิเรอร์ พอร์ตต้นทาง พอร์ตปลายทาง ลักษณะการทำงานของ VLAN และการตั้งค่าอินเทอร์เฟซสำหรับจับข้อมูล หากไม่มีบันทึกนี้ วิศวกรคนอื่นจะไม่สามารถทำการวัดซ้ำได้

แยกประเภททราฟฟิก EtherNet/IP

EtherNet/IP ใช้การส่งข้อความแบบเอ็กซ์พลิซิตสำหรับการจัดการการเชื่อมต่อ การกำหนดค่า และการวินิจฉัย ขณะที่ I/O แบบเป็นคาบมักใช้การส่งผ่าน UDP การแลกเปลี่ยนข้อมูลเพื่อค้นหาอุปกรณ์ไม่ใช่หลักฐานว่าการเชื่อมต่อ I/O ที่สร้างไว้ทำงานปกติ ให้เก็บข้อมูลการตั้งค่าและการยุติการเชื่อมต่อรอบเหตุขัดข้องไว้ ไม่ใช่เฉพาะแพ็กเก็ตแบบเป็นคาบ

เริ่มจากที่อยู่ IP ของเอ็นโค้ดเดอร์และคอนโทรลเลอร์ที่ทราบ จากนั้นระบุการเชื่อมต่อที่เกี่ยวข้อง แทนการติดป้ายแพ็กเก็ต UDP ทุกเฟรมว่าเป็นข้อมูลเอ็นโค้ดเดอร์ พอร์ต EtherNet/IP ทั่วไปอาจช่วยจำกัดขอบเขตการติดตามได้ แต่ปลายทาง จังหวะเวลา และบริบทของการเชื่อมต่อให้หลักฐานที่หนักแน่นกว่า

เก็บหลักฐาน ARP โทโพโลยี และการจัดการสวิตช์รอบเหตุการณ์ไว้ ความขัดแย้งของที่อยู่หรือการเปลี่ยนสถานะลิงก์อาจปรากฏอยู่นอกสตรีม I/O ที่กรองไว้ บันทึกข้อมูลที่ไม่ได้กรอง และใช้ตัวกรองการแสดงผลเพื่อวิเคราะห์ เพื่อไม่ให้บริบทถูกตัดทิ้งอย่างถาวร

วิเคราะห์จังหวะเวลาและช่องว่างของ RPI

ช่วงเวลาของแพ็กเก็ตที่ร้องขอกำหนดจังหวะการอัปเดตที่คาดไว้สำหรับการเชื่อมต่อ I/O ที่กำหนดค่าไว้ ให้วัดช่วงเวลาระหว่างการมาถึงของแพ็กเก็ตในช่วงที่ระบบทำงานปกติและรอบเหตุขัดข้อง มองหาช่วงที่หายไป การส่งแพ็กเก็ตเป็นชุดหลังหยุดชั่วคราว รูปแบบหมายเลขลำดับซ้ำ และการปิดหรือเปิดการเชื่อมต่อใหม่

อย่าถือว่าแพ็กเก็ตทุกแพ็กเก็ตที่มาช้ากว่า RPI ตามชื่อเป็นข้อขัดข้องของคอนโทรลเลอร์ ให้เปรียบเทียบช่วงว่างที่สังเกตได้กับพฤติกรรมการหมดเวลาของการเชื่อมต่อที่กำหนดค่าไว้ในคอนโทรลเลอร์ ความแปรผันไม่กี่ไมโครวินาทีและการขัดข้องนานหลายช่วงเวลาของแพ็กเก็ตมีความหมายแตกต่างกัน

ทำกราฟเวลาแพ็กเก็ตมาถึงควบคู่กับบิตข้อขัดข้องของคอนโทรลเลอร์ สถานะงาน เหตุการณ์ของเครื่องจักร และบันทึกของสวิตช์ หากสตรีมแพ็กเก็ตหยุดก่อนที่จะปรากฏเหตุการณ์ลิงก์ขาด ควรตรวจสอบอุปกรณ์ต้นทางหรือเส้นทางต้นน้ำ หากมิเรอร์ยังคงเห็นเฟรมจากเอ็นโค้ดเดอร์ขณะที่คอนโทรลเลอร์หมดเวลา ให้ตรวจสอบเส้นทางส่วนที่เหลือและการประมวลผลของคอนโทรลเลอร์

ใช้หลักฐานจากสวิตช์ร่วมกับข้อมูลที่จับได้

อ่านตัวนับของพอร์ตก่อนและหลังการทดสอบ ข้อผิดพลาด CRC หรือการตรวจสอบเฟรม การเปลี่ยนสถานะลิงก์ แพ็กเก็ตที่ถูกทิ้ง การเปลี่ยนความเร็ว และเหตุการณ์ของวงแหวน อาจอธิบายช่องว่างของแพ็กเก็ตได้ เครื่องวิเคราะห์แพ็กเก็ตที่เชื่อมต่ออยู่เหนือพอร์ตที่มีข้อผิดพลาดอาจไม่เคยได้รับเฟรมที่เสียหาย เนื่องจากสวิตช์ทิ้งเฟรมเหล่านั้น

ตรวจสอบสภาพสายและขั้วต่อ แนวทางการต่อชิลด์และการต่อลงดิน รัศมีการดัดงอ สิ่งปนเปื้อน และแรงดึง เปลี่ยนชิ้นส่วนที่ควบคุมได้ทีละชิ้นหลังจากเก็บข้อมูลพื้นฐานไว้แล้วเท่านั้น การเปลี่ยนสายและการตั้งค่าสวิตช์หลายอย่างพร้อมกันจะทำให้ไม่สามารถระบุสาเหตุได้

ยืนยันความเร็วและดูเพล็กซ์ที่เจรจาได้ให้สอดคล้องกับการกำหนดค่าอุปกรณ์ที่รองรับ หลีกเลี่ยงการบังคับการตั้งค่าโดยไม่ปรึกษาคู่มือเอ็นโค้ดเดอร์และสวิตช์ ความไม่ตรงกันอาจทำให้เกิดข้อผิดพลาดที่ดูเหมือนขึ้นอยู่กับโหลด

ปกป้องข้อมูลที่จับได้และเครือข่าย

จำกัดระยะเวลาการจับข้อมูลหรือใช้บัฟเฟอร์แบบวนรอบ เพื่อไม่ให้ดิสก์ของเครื่องวิเคราะห์เต็ม ระบุเวลาท้องถิ่นและเวลาโรงงานที่แน่นอน ข้อมูลการติดตามแพ็กเก็ตอาจเปิดเผยที่อยู่ ชื่ออุปกรณ์ การกำหนดค่า และพฤติกรรมของกระบวนการ จึงควรจัดเก็บภายใต้การควบคุมสิทธิ์การเข้าถึงที่เหมาะสม

ลบการกำหนดค่ามิเรอร์หลังการทดสอบ และตรวจสอบว่าพอร์ตปลายทางกลับสู่สถานะที่ตั้งใจไว้ มิเรอร์ที่ถูกทิ้งค้างไว้อาจเปิดเผยทราฟฟิกควบคุมแก่ผู้ไม่ได้รับอนุญาต หรือใช้ทรัพยากรของสวิตช์

อย่าเปลี่ยนแปลงการกำหนดค่าโดยอาศัยข้อมูลจากการติดตามแพ็กเก็ตเพียงอย่างเดียว ให้เทียบหลักฐานกับการวินิจฉัยของคอนโทรลเลอร์ ไฟแสดงสถานะของเอ็นโค้ดเดอร์ ตัวนับของสวิตช์ และเหตุการณ์ของเครื่องจักรที่ทำซ้ำได้ ข้อมูลที่จับได้บันทึกทราฟฟิกเท่านั้น ไม่ได้ยืนยันตำแหน่งทางกลหรือพิสูจน์ว่าเอ็นโค้ดเดอร์มีความแม่นยำ

เปลี่ยนข้อสังเกตให้เป็นข้อสรุปของความขัดข้อง

เฟรมหยุดที่จุดจับข้อมูลทั้งสองจุด

ตรวจสอบแหล่งจ่ายไฟของเอ็นโค้ดเดอร์ สถานะภายใน การเชื่อมต่อจากโปรแกรมต้นน้ำ หรือลิงก์ร่วมก่อนถึงจุดจับข้อมูลแรก ตรวจสอบว่าอุปกรณ์รีสตาร์ตหรือการเชื่อมต่อถูกยับยั้งโดยตั้งใจหรือไม่

เฟรมปรากฏที่เอ็นโค้ดเดอร์แต่ไม่ปรากฏที่อัปลิงก์

มุ่งตรวจสอบเส้นทางสวิตช์ระหว่างทาง VLAN เหตุการณ์ของวงแหวน ข้อผิดพลาดของพอร์ต ความแออัด หรือสายสัญญาณ ทำซ้ำการทดสอบพร้อมตัวนับที่ซิงโครไนซ์กันก่อนเปลี่ยนเอ็นโค้ดเดอร์

เฟรมไปถึงเส้นทางคอนโทรลเลอร์ แต่ PLC หมดเวลา

ตรวจสอบการเชื่อมต่อที่กำหนดค่าไว้ RPI ค่าการหมดเวลา ภาระงานของคอนโทรลเลอร์ การกำหนดที่อยู่ซ้ำ และตรวจสอบว่าแพ็กเก็ตที่จับได้เป็นของการเชื่อมต่อที่คาดหมาย

การจับแพ็กเก็ตจะมีคุณค่าเมื่อควบคุมตำแหน่งจับข้อมูล จังหวะเวลา และบริบทของเครือข่าย เป้าหมายไม่ใช่ไฟล์ Wireshark ขนาดใหญ่ แต่คือหลักฐานปริมาณพอเหมาะที่แสดงให้เห็นว่าการแลกเปลี่ยนข้อมูลแบบเป็นคาบเปลี่ยนแปลงตรงไหน และมีเหตุการณ์ทางกายภาพหรือการกำหนดค่าใดเปลี่ยนแปลงไปพร้อมกัน