Wstęp

Duplikacja adresów IP to częsty problem w sieciach przemysłowych. Na jednym obiekcie mogą funkcjonować różne podsieci o identycznej adresacji, co prowadzi do pojawienia się urządzeń z tym samym adresem IP i powoduje problemy komunikacyjne przy próbie ich integracji z systemem nadrzędnym np. SCADA.

W takich sytuacjach pomaga NAT 108 oraz tryb IP Twins Mapping, czyli translacja adresów, która pozwala rozdzielić kolidujące IP i uporządkować komunikację bez zmieniania konfiguracji urządzeń.

Jak działa IP Twins Mapping

Aby zrozumieć, czym jest IP Twin Mapping, warto najpierw przypomnieć sobie podstawy translacji adresów sieciowych (NAT).

NAT (Network Address Translation) to mechanizm sieciowy służący do zmiany adresów IP i numerów portów. Dzięki temu urządzenia z prywatnym adresem mogą się komunikować z urządzeniami spoza sieci prywatnej. W praktyce NAT występuje w dwóch podstawowych wariantach, zależnie od tego, który adres w pakiecie jest modyfikowany:

SNAT (Source NAT) polega na zmianie adresu źródłowego pakietu IP. Stosowany jest najczęściej wtedy, gdy urządzenia z sieci prywatnej komunikują się z siecią zewnętrzną. Router podmienia source IP, a następnie na podstawie reguł translacji kieruje odpowiedzi do właściwego hosta.

DNAT (Destination NAT) polega na podmianie adresu docelowego w pakiecie IP. Stosuje się go wtedy, gdy ruch przychodzący ma trafić do konkretnego urządzenia wewnątrz np. serwera z prywatnym IP. Pakiet jest wysłany na adres zewnętrzny, a router podmienia destination IP na adres docelowego hosta i przekazuje go dalej.

IP Twins Mapping udostępnia urządzenia z duplikowaną adresacją pod unikalnymi adresami IP widocznymi od strony sieci nadrzędnej. To właśnie za ich pośrednictwem host zewnętrzny nawiązuje połączenie, a router w oparciu o zdefiniowane reguły precyzyjnie przekierowuje pakiety do konkretnego urządzenia.  Warunkiem poprawnej pracy jest podłączenie każdego segmentu do osobnego interfejsu, co umożliwia NAT-108 jednoznaczną identyfikację sieci docelowej dla przychodzących pakietów.

Warto zaznaczyć, że NAT-108 pozwala na równoczesne działanie maksymalnie trzech reguł IP Twins Mapping. Tryb ten wymaga, aby urządzenia końcowe obsługiwały konfigurację bramy domyślnej i nie umożliwia bezpośredniej komunikacji pomiędzy segmentami z tą samą adresacją (np. LAN1–LAN2).  

Alternatywnym rozwiązaniem może być zastosowanie urządzeń NAT-102 pracujących w trybie NAT 1:1 z odblokowaną funkcją Double NAT. W takim podejściu każdy segment z powielonym adresem IP otrzymuje własny NAT-102, który realizuje translację adresów. Pozwala to ominąć ograniczenie liczby reguł, zapewnić swobodną komunikację pomiędzy wszystkimi segmentami sieci oraz wyeliminować konieczność konfiguracji bramy domyślnej po stronie urządzeń końcowych. 

▲ Wróć na górę

Konfiguracja trybu IP Twin Mapping

 

W tym podpunkcie przedstawimy konfigurację typowego scenariusza dla IP Twins Mapping. Połączymy system nadrzędny SCADA z trzema liniami produkcyjnymi, które wykorzystują identyczną adresację. Celem konfiguracji będzie umożliwienie nawiązania komunikacji systemu SCADA z urządzeniami w każdej linii, bez konieczności zmiany adresów IP po stronie sieci produkcyjnych.

Konfiguracja interfejsu SCADA

Network Configuration -> Layer 2 Switching -> VLAN -> Settings

Pierwszym krokiem jest stworzenie dedykowanego VLANu dla systemu SCADA i przypisanie go do odpowiedniego portu. W omawianym scenariuszu wykorzystano VLAN 10 na porcie 4 w trybie Access. 

Network Configuration -> Network Interfaces -> WAN

Następnie na wcześniej skonfigurowanym VLANie 10 tworzony jest interfejs WAN z adresem IP 10.0.0.254/24. 

 

Konfiguracja interfejsów lini produkcyjnych

Network Configuration -> Layer 2 Switching -> VLAN -> Settings

Dla każdej linii produkcyjnej tworzymy osobny VLAN i przypisujemy go do odpowiedniego portu w trybie Access. W przykładzie linie produkcyjne zostały przypisane do VLAN 101, 102 i 103, odpowiednio na portach 1–3. 

Network Configuration -> Network Interfaces -> LAN

Na utworzonych VLANach tworzymy osobne interfejsy LAN (Line1, Line2, Line3). 

Konfiugracja Secondary IP

Network Configuration -> Network Interfaces -> Secondary IP

Aby NAT-108 mógł poprawnie rozpoznawać i obsługiwać przetłumaczony ruch, konieczne jest dodanie Secondary IP po stronie interfejsu WAN. Są to adresy, na które będzie kierowana komunikacja z systemu SCADA. W przedstawionym przykładzie należy dodać trzy adresy:

• 10.0.0.1/32
• 10.0.0.2/32
• 10.0.0.3/32

Każdy z tych adresów reprezentuje jedną linię produkcyjną i będzie później wykorzystany w regułach IP Twins Mapping. 

Konfiguracja reguł NAT

NAT -> NAT Setting

Ostatnim krokiem jest utworzenie reguł NAT, które mapują unikalne adresy IP Twin na rzeczywiste, zduplikowane adresy urządzeń. 

Każda reguła jednoznacznie wskazuje:

• interfejs wejściowy (WAN),
• adres IP Twin (Secondary IP),
• interfejs wyjściowy odpowiadający konkretnej linii (Line-1,Line-2,Line-3),
• docelowy adres urządzenia (192.168.0.1).

Jeżeli zachodzi potrzeba inicjowania połączeń z poziomu sieci wewnętrznej w kierunku systemu nadrzędnego, należy włączyć opcję Auto Create Source NAT. W przeciwnym przypadku odpowiedzi mogą nie wracać przez właściwy interfejs. W przedstawionym przykładzie opcja ta pozostaje ustawiona na Disable, ponieważ komunikacja inicjowana jest wyłącznie z jednej strony.

 

Test konfiguracji

Aby potwierdzić poprawność konfiguracji, wystarczy wykonać prosty test za pomocą komendy ping. Poniżej zamieszczamy jego wynik.

 

▲ Wróć na górę

Podsumowanie

IP Twins Mapping w NAT-108 pozwala skutecznie rozwiązać problem duplikacji adresów IP w sieciach przemysłowych, umożliwiając komunikację z segmentami o identycznej adresacji bez konieczności zmiany adresacji urządzeń końcowych. Należy jednak pamiętać, że NAT-108 obsługuje maksymalnie trzy jednoczesne reguły IP Twins Mapping, nie umożliwia bezpośredniej komunikacji pomiędzy segmentami z duplikowaną adresacją i wymaga, aby urządzenia końcowe obsługiwały konfigurację bramy domyślnej.

W scenariuszach wykraczających poza możliwości IP Twins Mapping, takich jak większa liczba segmentów z duplikowaną adresacją lub brak możliwości konfiguracji bramy domyślnej na urządzeniach, rozwiązaniem może być zastosowanie NAT-102 w trybie NAT 1:1 z włączoną funkcją Double NAT.

Zachęcamy również do zapoznania się z dodatkowymi materiałami, w których szerzej i bardziej szczegółowo omawiamy działanie translacji adresów sieciowych.

Webinar:

Translacja adresów NAT: jak zrobić to szybko i bez problemów?

 

▲ Wróć na górę