Главная » Хабрахабр » Зоопарк на нефтебуровой: наводим порядок

Зоопарк на нефтебуровой: наводим порядок

Есть компания, которая строит месторождение или нефтебуровую платформу. У них есть отдельная локальная сеть под видеонаблюдение, отдельно под АСУ ТП, отдельно для доступа в Интернет, отдельно локальная сеть (по сути) для телефонии.

В результате на многих предприятиях по десятку однородных решений. Это как если бы мы в такой корпоративной (производственной) сети вместо файрволлов использовали физическое разграничение сетей. Владельцы переплачивают деньги за дублирующийся функционал.

Гораздо эффективнее сделать одну сеть, где всё это объединяется. Вот так выглядит «единая» локальная сеть. Мы сделали, и сейчас расскажу, что это дало.
И вторую, чтобы был резерв.

Как сделать лучше

Для ряда добывающих компаний мы делали тяжёлые комплексные проекты. Там десятки вендоров и сотни разных решений, всё это переплетено между собой. Есть оптика, радиорелейка, есть вайфай, радиодоступ по другим технологиям, есть индустриальные эзернеты, обычные телефонные станции, датчики IoT для АСУ ТП и многое другое.

Ещё в этой сфере часто случаются слияния-поглощения и получается, что два разных зоопарка объединяются. Ни у кого нет стабильного решения по фен-шую: страшный зоопарк из легаси даёт о себе знать. Получается зоопарк в квадрате.

Это главный стопор прогресса, например, в нефтяной сфере: здесь, как нигде, используется принцип «работает — не трогай». Наша задача — убедить заказчика, что объединение сетей безопасно.

Это серьёзное удорожание, но это исторически правильно. Во-первых, АСУ ТП-часть всегда использует другие коммутаторы, нежели остальные части сети. Предполагается, что АСУ ТП будет работать в любых условиях, поскольку как минимум формально она отвязана от Интернета.

Защита сетей АСУ ТП — это критично, и к ней всё равно надо принимать такие же меры, как если бы она просто торчала наружу. При этом физическая изоляция сетей не гарантирует изоляцию от зловредов: инженеры регулярно подключаются к оборудованию внутреннего сегмента заражёнными компьютерами из внешнего.

Да, либо сеть строится отдельно и на аналоге (очень дорого), либо считается, что она условно защищена. Видеонаблюдение: считается, что нет необходимости защищать его так, как АСУ-сегмент. Либо подменить картинку, и никто в ближайшие полгода до конца зимы не узнает. В моей практике можно отвернуть камеру и получить доступ к сети. Многие чувствуют себя так в безопасности: картинка может не меняться 100 лет. Проверяется доступность камер и наличие картинки. Надо объезжать и смотреть, что и где. Тундра и тундра.

Давайте перейдём к деталям. В итоге мы ответили на все вопросы безопасников.

Пример

Она хороша, но если пошли сильные осадки (дождь, снег) или начался сильный ветер, то начинаются сбои. Первый вариант — это когда только радиорелейка. Если проходят всякие ледяные дожди или что-то ещё, то наледь может деюстрировать антенну. Сильный ветер может развернуть антенну, дождь и снег экранируют и создают помехи. В плохих погодных условиях (а в России добыча, как правило, происходит в суровых погодных условиях) надо дублировать. Радиорелейная связь будет хорошо работать в идеальных погодных условиях.

Но оптика тоже может порваться, её рвут чаще, чем может показаться. С нашей точки зрения, оптимальный вариант — это оптика + радиорелейка. И во время одного ремонта трубы могут порвать в десятках мест. Вне зависимости от того, закапывают её или вешают на опоры.

Результат

В нашем примере есть нефтепровод — примерно сотня километров.

Отказоустойчивость достигается через радиорелейные мосты, есть резервирование телефонии через транкинговую сеть (интегрируется через рации для вызова абонентов телефонной сети). Мы объединили сети в единый комплекс, как на схеме выше.

Результат такой:

  • В два раза снизили кабельную ёмкость волокна;
  • В три раза снизили активное оборудование;
  • Каждый объект (узел) в три раза меньше потребляет питания.

Теперь про безопасность. Вот, например, IP-камера, частый узел проникновения зловреда:

Сейчас я нарезал VLAN'ы. Как разграничивается трафик? Условно АСУ ТП имеет высочайший приоритет, затем видео и телефония, остальной трафик — дальше.

Почему набор VLAN безопасен в сравнении со старым добрым физическим разграничением?

Это абсолютно безопасно. Когда ты делишь физически, у тебя под каждую задачу своя железка. Нужно добраться до сегмента управления. Если злоумышленники попали на одну железку, они не попадут на соседнюю. Соответственно, если есть единая точка отказа, то какая разница, на одной железке виланы нарезаны или всё крутится на разных. Есть общая точка взлома — это менеджмент-сеть. Вероятностная характеристика каких-то проблем в виртуальных сетях ненамного выше такой же оценки в физических разделённых сетях. Пользователи изолированы, они не видят юзеров из соседних виланов. Таким образом, вероятность отказа минимизируется. Коммутаторы можно сделать изолированными, кластеры коммутаторов, оптические линки будут дублированы.

были на физически выделенных сетях, это определённая точка зрения. До последнего времени безопасность настаивала на том, чтобы сети видеонаблюдения, АСУ ТП и пр. Но это дорого. И здравый смысл в этом определённо есть. Можно сильно снизить цену за счёт очень малого снижения отказоустойчивости.

Мы предложили вариант совместить отказоустойчивые коммутаторы, отказоустойчивые ЛВС — ключевые роли тут задублированы, но, соответственно, все сети мы поделили виртуально. Вторая причина в том, что, если есть три разные сети, их крайне редко дублируют все три.

Можно минимизировать количество прокладываемой оптики, минимизировать время восстановления. Сделали расчёт и показали, что на самом деле такое решение где-то на треть дешевле. Тоже сокращает издержки на обслуживание. Потому что, если у тебя порвали оптическое волокно, например 8-волоконное, у тебя время восстановления условно полчаса, если это 32-волоконное — сильно больше.

Каналы

Есть гарантированные полосы. Приходит 10G, она делится на куски по гарантии и максимуму утилизации. Все эти расчёты индивидуальные.

Когда меняется температура почвы с лежащим там волокном, становится понятно, что нефть вытекла. Оптика в любом случае лежит на месторождении — например, в той же системе обнаружения протечек используют волоконно-оптический кабель. Да, на меди или старых технологиях можно это построить, но это нерационально. Поэтому проблем с коммутацией и узким каналом внутри локальной сети просто нет. Поэтому волокно — это данность.

Датчик сработал — сразу реакция, даже если вокруг война. Спутниковые каналы у них скорее дублирующие, для критичной телеметрии и того же АСУ ТП. Вот фейловер:

Оборудование

Для понимания. Вот примерно такой технологический шкаф установлен у заказчика.

Итог

В итоге мы можем собрать весь зоопарк в одно решение за счёт виртуального разграничения сетей. Это в два раза лучше по кабелю и в три раза лучше по зоопарку железа на узлах в количестве единиц. ИБ снижается незначительно, отказоустойчивость растёт за счёт полного дублирования ключевых узлов. Проще, быстрее и дешевле обслуживание.

Потом отправляется остальное. Используются дорогие коммутаторы для АСУ ТП, через них трафик АСУ ТП идёт с высочайшим приоритетом.

За объективно небольшой компромисс в безопасности можно получить существенное упрощение поддержки, унификацию решения и экономию по питанию и капитальным затратам.


Оставить комментарий

Ваш email нигде не будет показан
Обязательные для заполнения поля помечены *

*

x

Ещё Hi-Tech Интересное!

Не позволяйте 3D-принтеру лениться

Наверное, у каждого из нас есть гаджет или устройство, которые мы не используем: тренажёр, плеер, кухонный инвентарь, всякие странные штуки для автомобиля, шнуры, хабы и проч. Лежат они, новенькие, с гарантийниками и годами ждут своего часа, которому чаще всего уже ...

[Перевод] Знакомимся с альфа-версией снапшотов томов в Kubernetes

перев.: оригинальная статья была недавно опубликована в блоге Kubernetes и написана сотрудниками компаний Google и Huawei (Jing Xu, Xing Yang, Saad Ali), активную деятельность которых вы непременно видели в GitHub'е проекта, если когда-либо интересовались фичами и проблемами K8s, связанными с ...