Tenho uma rede independente, que no momento consiste em 13 máquinas com PLCs conectadas a três switches TL-SG105S não gerenciados em uma sala.
A ideia era conectar um laptop a um switch e, em seguida, ser capaz de conectar-se às outras treze máquinas da sala via Ethernet, para baixar atualizações de programas, obter backups, etc., sem ter que carregar um laptop pela sala. O tempo necessário nesta rede pode ser incrivelmente lento; haverá alguns kB de dados de vez em quando.
Cada máquina possui um dispositivo Ethernet dentro dela, que não precisa se comunicar com nada fora da máquina, ou seja, além do CLP, então coloquei o dispositivo Ethernet dentro do CLP em uma sub-rede diferente, 192.168.10.XX, em vez de 192.168.0.XX.
Infelizmente, descobri que, embora o PLC tenha duas portas Ethernet, elas são totalmente transparentes e os dispositivos internos também se comunicam entre si na sala, causando todos os tipos de problemas.
Não tenho certeza da melhor solução; Eu estava pensando que algum tipo de filtragem de IP seria a melhor solução, se cada um dos switches (o que tenho quase certeza de que eles não podem fazer) apenas encaminhasse solicitações da sub-rede 192.168.0.XX, isso resolveria o problema, mas existe uma maneira melhor?
Seria bastante trivial para mim encontrar os endereços MAC dos dispositivos ofensivos, se isso fosse melhor?
Posso (suspeito que terei que) comprar dispositivos diferentes, mas não tenho certeza de quais especificações devo procurar.
Esta rede nunca estará ligada ao resto do mundo, pelo que não há risco de segurança desse ponto de vista.
Muito obrigado pela sua ajuda!
Editar: Aqui está um diagrama, para deixar mais claro (finja que existem três switches e treze PLCs):
O problema é que o dispositivo A pode (e está) se comunicando com o CLP B e o CLP C, assim como o dispositivo B etc.
Sei que não é uma ótima configuração, mas com a quantidade de fluxo de dados, pareceu a mais simples e barata.
(Ah, e o dispositivo do usuário possui apenas uma placa de rede e, portanto, pode estar na rede com os CLPs ou na internet, mas nunca os dois juntos)
Esqueci de acrescentar que tudo na rede tem IP estático.
Se você não conseguir impedir que os PLCs conectem esse tráfego indesejado ao switch, não há nada que você possa fazer com esses switches não gerenciados.
A maioria dos switches gerenciados fornece pelo menos uma das diversas maneiras de filtrar esse tráfego indesejado, incluindo
A verdadeira resposta é a separação das redes.
Coloque outra NIC no PLC e use essa NIC para se comunicar com o dispositivo.
Se você não deseja a separação, não faça a separação - e ameace-a como uma sub-rede com endereços exclusivos.