Siemens SIMATIC NET S7-1200 Betriebsanleitung Seite 46

Projektierung und Betrieb
5.8 Security-Funktionen
5.8.2 Firewall
5.8.2.1 Firewall-Reihenfolge bei der Prüfung ein- und ausgehender Telegramme
Jedes eingehende oder ausgehende Telegramm durchläuft zunächst die MAC-Firewall
(Layer 2). Wenn das Telegramm bereits auf dieser Ebene verworfen wird, dann wird es nicht
zusätzlich durch die IP-Firewall (Layer 3) geprüft. Somit kann durch entsprechende MAC-
Firewall-Regeln die IP-Kommunikation eingeschränkt oder geblockt werden.
5.8.2.2 Online-Diagnose und Laden in Station bei aktivierter Firewall
Firewall-Einstellungen des CP für Engineering-Station mit Windows XP
Auf einer Engineering-Station mit Windows XP wird bei einem Online-Zugriff aus STEP 7 auf
die S7-1200 über die Ethernet-Schnittstelle des CP ein Ping an die Baugruppe gesendet.
Damit wird die Erreichbarkeit des Partners geprüft.
Um von STEP 7 aus eine Online-Verbindung für Diagnose oder Ladevorgänge über die
Ethernet-Schnittstelle des CP herstellen zu können, müssen Sie bei aktivierter Firewall des
CP den Zugriff von Ping-Kommandos in der Firewall zulassen.
Bei Verwendung von STEP 7 mit Windows 7 wird kein Ping-Telegramm gesendet.
Firewall einstellen - Vorgehensweise
Gehen Sie bei aktivierter Security-Funktion wie folgt vor:
1. Wählen Sie in den globalen Security-Einstellungen (siehe Projektnavigation) den Eintrag
"Firewall > Dienste > Dienste für IP-Regeln definieren".
2. Wählen Sie das Register "ICMP".
3. Fügen Sie jeweils einen neuen Eintrag vom Typ "Echo Reply" und "Echo Request" ein.
4. Wählen Sie nun den CP in der S7-1200-Station an.
5. Aktivieren Sie den erweiterten Firewall-Modus in den lokalen Security-Einstellungen des
CP in der Parametergruppe "Security > Firewall".
6. Öffnen Sie die Parametergruppe "IP-Regeln".
7. Fügen Sie in der Tabelle jeweils eine neue IP-Regel für die zuvor global angelegten
Dienste wie folgt ein:
– Aktion: Allow; "Von Extern -> Nach Station" mit dem global angelegten Dienst "Echo
– Aktion: Allow; "Von Station -> Nach Extern" mit dem global angelegten Dienst "Echo
8. Tragen Sie für die IP-Regel zum Echo Request unter "Quell-IP-Adresse" die IP-Adresse
des PG/PC ein. Sie sorgen so dafür, dass PING-Telegramme nur von Ihrem PG/PC aus
die Firewall passieren können.
46
Request"
Reply"
Betriebsanleitung, 07/2014, C79000-G8900-C365-01
CP 1243-1