Parametergruppe "Ip-Konfiguration - Siemens S7-400 Projektierungshandbuch

Security aktivieren - Auswirkung
Ist der IP-Zugriffschutz für die IP-Kommunikation aktiviert, wird beim Aktivieren der Security-
Funktion die Firewall unabhängig von Einträgen automatisch eingeschaltet. Die in Step 7
angelegten IP-ACL-Einträge werden mit den entsprechenden Rechten als Firewall-Regeln
übernommen. Diese aus den ACL-Einträgen bei der Security-Aktivierung abgeleiteten
Firewall-Regeln gelten nur an der Schnittstelle zum externen Netz.
Hinweis
IP-ACL ohne Einträge beim Aktivieren der Security
Wenn Sie eine IP-ACL ohne Einträge übernehmen, dann wird die Firewall aktiviert und auf
den CP kann von extern nicht mehr zugegriffen werden. Damit der CP erreichbar ist,
konfigurieren Sie im Erweiterten Modus von SCT die entsprechenden Firewall-Regeln.
Hinweis
Verhalten im internen Subnetz
Sobald Sie Security aktivieren, gibt es zunächst keine Zugriffs-Einschränkungen zwischen
Kommunikationspartnern, die im internen Netz angeschlossen sind.
Für interne Subnetze gilt daher: Bisher vorhandene Einträge in der IP-ACL, die eine
Kommunikation auf bestimmte Partner einschränkte, werden mit der Aktivierung der Security
zunächst unwirksam.
Bei aktivierter Security besteht dann die Möglichkeit, detaillierte Firewall-Einstellungen zu
einzelnen Teilnehmer vorzunehmen. Für spezifizierte Verbindungen zu externen Partnern
werden automatisch Firewall-Regeln angelegt, die den Verbindungsaufbau freigeben. Für
unspezifizierte Verbindungen müssen Sie zunächst die entsprechenden Firewall-Regeln
konfigurieren.
Stateful Packet Inspection
Firewall und NAT/NAPT-Router unterstützen den Mechanismus "Stateful Packet Inspection".
Daher können Antworttelegramme den NAT/NAPT-Router und die Firewall passieren, ohne
dass deren Adressen in der Firewall-Regel und der NAT/NAPT-Adressumsetzung zusätzlich
aufgenommen werden müssen. IP-Adressen, die im Falle der deaktivierten Security
temporär in der ACL erscheinen würden, können durch denMechanismus der Stateful
Packet Inspection erfasst werden. Solche IP-Adressen sind dann in entsprechenden Seiten
der Diagnose nicht sichtbar.
3.3.7

Parametergruppe "IP-Konfiguration"

Bedeutung
Sie können festlegen, über welchen Weg bzw. über welches Verfahren die IP-Adresse der
lokalen Schnittstelle ermittelt und dieser zugewiesen werden soll.
S7-CPs für Industrial Ethernet projektieren und in Betrieb nehmen
Projektierungshandbuch, 09/2013, C79000-G8900-C182-13
Den Ethernet-CP mit STEP 7 projektieren
3.3 Weitere CP-Eigenschaften einstellen
57