Отказоустойчивость торговой точки определяется не классом оборудования, а числом узлов, отказ которых останавливает продажи. Таких узлов в магазине пять: канал связи до центрального узла, электропитание, коммутатор в шкафу, кассовый сервер и путь до банка-эквайрера. Пока хотя бы один из них существует в единственном экземпляре, точка держится на нём, и резервирование остальных четырёх продажи при его отказе не спасёт.
Ниже чеклист резервирования по этим пяти узлам вместе с проверкой, которую делают на приёмке точки. Дальше разбор четырёх мест, где проект магазина рассыпается чаще прочего: переключение между каналами связи, состав нагрузки на источнике бесперебойного питания, изоляция платёжного контура и беспроводной сегмент склада.
| Узел | Что встаёт при отказе | Чем резервируется | Проверка на приёмке |
|---|---|---|---|
| Канал связи | Оплата картой, обмен с товарным контуром, выгрузка чеков | Второй канал через другого оператора и другую среду передачи, автоматическое переключение на шлюзе | Физически снять основной линк и провести тестовую оплату без вмешательства кассира |
| Электропитание | Вся точка сразу, включая кассы и сетевой шкаф | ИБП, под который заведены роутер, коммутатор, кассовый сервер и кассовые места; вторые блоки питания в коммутаторе и сервере | Снять ввод на щите и убедиться, что оплата проходит, а не только светится экран кассы |
| Коммутатор | Все проводные устройства точки и питание PoE для камер и точек доступа | Запасное устройство того же исполнения с актуальной резервной копией конфигурации | Залить сохранённую конфигурацию в чистое устройство и проверить, что точка поднимается целиком |
| Кассовый сервер | Товарные операции, цены, обмен с центральной системой | Автономный режим касс на время недоступности сервера, резервная копия базы вне точки | Погасить сервер в рабочие часы и зафиксировать, какие операции касса выполняет сама |
| Эквайринг | Приём карт при работающей сети и рабочей кассе | Второй маршрут до банка по резервному каналу, терминалы с собственным сотовым модулем как независимый путь | Провести операцию по резервному маршруту отдельно от проверки основного |
Правый столбец здесь важнее левого. Резерв, который ни разу не проверяли отключением, состоянием не является. Конфигурация второго канала устаревает после смены адресации, батареи ИБП теряют ёмкость, а копия конфигурации коммутатора снимается один раз при монтаже и с тех пор не совпадает с тем, что стоит в шкафу. Запасное устройство на точку или на куст точек это отдельное решение по составу склада, разбор в статье про склад ЗИП и зону ответственности интегратора.
Второй канал даёт результат только при независимости от первого по физике: другой оператор, другая среда передачи, отдельный ввод в здание. Два оптических линка одного провайдера в общей кабельной канализации рвутся одним ковшом, и резерв существует только в договоре. Пара из проводной линии и сотового канала разносит причины отказа: авария на трассе не трогает базовую станцию, перегрузка соты не трогает оптику.
Ручное переключение резервированием не считается. Пока сотрудник подключает модем, продажи стоят, а сам порядок действий зависит от того, кто сегодня в смене. Автоматику держит шлюз: он измеряет потери пакетов и задержку по каждому каналу и переносит трафик, когда показатели выходят за порог, заданный в проекте. Пороги важнее самой функции, потому что заводские значения реагируют на полный обрыв, но пропускают канал, который отвечает с потерями и уже роняет платёжные операции.
Чтобы сессии не рвались в момент переключения, трафик точки заворачивают в туннель до центрального узла: внешний адрес меняется, адрес внутри туннеля остаётся прежним, и приложение смены канала не замечает. Эта же схема закрывает вторую задачу, ввод новых точек: шаблон конфигурации приезжает с центрального контроллера, а не набирается руками в консоли, поэтому открытие магазина не привязано к графику командировок сетевого инженера. Механика такой сети разобрана в статье про магистральные сети WAN/MPLS и SD-WAN для филиалов.
Полоса резервного сотового канала уже проводного, поэтому приоритеты на нём задают отдельно. Платёжные операции, обмен кассы с товарным контуром и телефония получают гарантированную полосу, обновления рабочих станций и гостевой доступ на время работы через резерв ограничивают или отключают.
Типовая ошибка выглядит так: ИБП стоит под кассой, а коммутатор и роутер включены в обычную розетку. При пропадании ввода касса продолжает работать и не видит ни сервер, ни банк, то есть продажи встают всё равно. Под бесперебойное питание заводят всю цепочку целиком: роутер, коммутатор, кассовый сервер, кассовые места и терминалы оплаты.
Мощность ИБП считают сложением потребления этой цепочки, а не по числу розеток. Отдельной строкой идёт бюджет PoE: точки доступа и IP-камеры питаются через коммутатор и входят в ту же нагрузку, поэтому их потребление добавляется к потреблению самого коммутатора. Время автономной работы выбирают под сценарий. Держать точку до восстановления электроснабжения означает дизель-генератор и согласование с собственником здания, дать смене закрыть операции и корректно погасить сервер означает ёмкость батарей на несколько минут работы.
Второй блок питания в коммутаторе и сервере закрывает отказ самого блока, но помогает только при разводке блоков на разные линии питания. Оба блока в одном удлинителе резервируют лишь электронику блока и ничего больше. Требования к числу портов, бюджету PoE и наличию второго блока сводят в спецификацию заранее, критерии подбора в статье про коммутаторы Huawei по сериям.
Требование PCI DSS к изоляции среды данных держателей карт на уровне проекта сводится к простому правилу. Кассы и пин-пады живут в отдельном сегменте, обмен с другими сегментами идёт через межсетевой экран с явным списком разрешённых направлений, всё остальное закрыто. Логическое разделение по VLAN без фильтрации между ними изоляцией не является, потому что маршрутизатор соединит сегменты обратно.
Минимальный набор сегментов в точке: кассы и терминалы оплаты, видеонаблюдение, торговое оборудование (весы, электронные ценники, телеметрия холодильных установок), рабочие места администрации, гостевой доступ. Разделение нужно не ради отчёта аудитору. Камера или контроллер ценников с прошивкой, которую никто не обновляет, стоит в том же зале, и в плоской сети он становится входом в кассовый контур. Шифровальщик, попавший на компьютер в подсобке, в плоской сети доходит до кассового сервера без единого препятствия.
Гостевой сегмент дополнительно закрывают изоляцией клиентов друг от друга на точке доступа и ограничением полосы. Смартфон покупателя должен видеть шлюз в интернет и ничего больше, а фоновая загрузка обновлений в его сторону не должна конкурировать с трафиком кассы.
Решение о смене точки доступа принимает клиент, а не сеть. Пока текущая точка отвечает, терминал сбора данных за неё держится, даже если сигнал упал до края чувствительности, а рядом стоит точка вдвое сильнее. На складе это выглядит так: терминал показывает подключение, а операция инвентаризации не проходит и сотрудник ходит с ним к соседнему стеллажу, чтобы поймать связь.
Расширения стандарта разносят задачу на части. 802.11k отдаёт клиенту список соседних точек, чтобы он не сканировал эфир вслепую, 802.11v позволяет контроллеру подсказать переход на конкретную точку, 802.11r сокращает время переподключения за счёт заранее согласованных ключей. Работает это при поддержке со стороны терминала, поэтому набор расширений сверяют по спецификации ТСД до закупки точек доступа, а не после.
Радиопроект зала и склада считают по уровню сигнала и скорости в проходах между стеллажами, а не по площади помещения. Металлические стеллажи меняют картину покрытия по мере заполнения товаром, поэтому замеры делают на загруженном складе. Разбор ошибок в этой части лежит в статье про ошибки радиопланирования в офисах и на складах.
С канала связи и питания сетевого шкафа. Отказ любого из этих двух узлов останавливает приём карт целиком и не зависит от состояния остального оборудования. Дублирование коммутатора и кассового сервера имеет смысл после того, как закрыты эти два узла, потому что до тех пор запасное устройство просто ждёт на полке рядом с неработающей точкой.
Нет, если они проложены по одной трассе и терминируются на одном узле оператора. В этой схеме резервируется только оборудование на стороне магазина, а общая точка отказа остаётся снаружи. Трассу и точку подключения запрашивают у обоих операторов до подписания договора, иначе независимость каналов проверить нечем.
Проверкой с физическим отключением на приёмке. Снимают основной линк, затем ввод питания, и в каждом случае проводят тестовую оплату картой. Зелёный статус в мониторинге состояние резерва не подтверждает: он показывает, что второй канал жив, но не показывает, укладывается ли переключение в таймаут платёжной операции.
Нужен. Камеры и регистратор подключены к тому же коммутатору и получают адрес в той же сети, а их прошивки обновляют реже прочего оборудования точки. В общем сегменте скомпрометированная камера даёт злоумышленнику доступ к кассовому контуру, в отдельном она упирается в правила межсетевого экрана. Дополнительный эффект в том, что видеопотоки не идут через сегмент с платёжными операциями.
Это определяется кассовым программным обеспечением и договором с банком, а не сетью. Часть операций касса выполняет автономно и досылает данные после восстановления связи, часть требует ответа от внешней системы в момент продажи. Границу автономного режима выясняют до проектирования: от неё зависит, что именно должно пережить отказ канала и сколько времени точка может работать без него.
Меню
Каталог
