Серверы и ИИ: практическое применение
IPv4 и IPv6 у шлюза телеметрии: проверить обе политики доступа
После изменения операторского подключения или прошивки устройство может получить ещё один сетевой путь. Если правила обслуживания описаны только для IPv4, фактическая доступность по IPv6 остаётся неизвестной. Для полевого шкафа это отдельная проверка конфигурации, а не повод считать новую адресацию автоматически безопасной или опасной.
Установить реальное состояние
Составьте перечень интерфейсов, адресов, маршрутов и работающих служб для обоих семейств IP. Отметьте, какие сведения получены наблюдением, а какие взяты из документации. Поддержка IPv6 в спецификации не означает, что он активен в конкретной установке.
Проверьте, где слушают веб интерфейс, служба управления и клиентские приложения. Привязка службы к интерфейсу и правило пограничного фильтра выполняют разные задачи. Настройка одного не должна молча считаться подтверждением другого.
Составить матрицу доступности
Для каждого разрешённого потока укажите источник, назначение, направление и семейство IP. Аналогично зафиксируйте запрещённые обращения. Ожидание «вход снаружи закрыт» превращают в проверяемое правило на фактических границах сети.
RFC6092 рассматривает простую пограничную защиту IPv6 для определённой категории CPE. (IETF RFC 6092 — Recommended Simple Security Capabilities in CPE) Это информационный документ со своей областью, а не обязательный промышленный профиль. Для OT проекта требования задают с учётом системы и её рисков; общий подход изложен в NIST SP800-82. (NIST SP 800-82 Rev.3 — Guide to Operational Technology Security)
Испытать от правильной стороны
Разрешённая проверка из локального сегмента и проверка из внешней сети отвечают на разные вопросы. Укажите расположение испытательного клиента и путь до шлюза. Недоступность из одной точки не доказывает отсутствие доступа из всех других направлений.
Подтвердите не только запреты, но и нужный прикладной обмен. Двойной стек может выбирать разные адреса сервера. Если один путь не работает, приложение иногда скрывает это переходом на другой. Для приёмки полезно видеть результаты каждого согласованного сценария отдельно.
Сохранить политику при переключениях
Повторите проверку для резервного оператора, восстановления питания и применения штатной конфигурации. Не оставляйте тестовое правило открытым после завершения работ. В акте перечислите проверенные службы, направления и ограничения испытания.
Если IPv6 проектом не используется, решение о его состоянии должно быть явным и поддерживаемым изготовителем. Если используется, требуется полноценная эксплуатационная схема. В обоих случаях персонал получает конкретную конфигурацию и порядок изменения, а не общее обещание, что наличие или отсутствие NAT само решает вопрос доступа к оборудованию.