Firewall; Vorgezogene Prüfung Von Telegrammen Durch Die Mac-Firewall; Schreibweise Der Quell-Ip-Adresse (Erweiterter Firewall-Modus); Firewall-Einstellungen Für Projektierte Verbindungen Über Vpn-Tunnel - Siemens SIMATIC NET S7-1200 Betriebsanleitung

Projektierung
4.10 Security
4.10.3

Firewall

4.10.3.1 Vorgezogene Prüfung von Telegrammen durch die MAC-Firewall
Jedes eingehende oder ausgehende Telegramm durchläuft zunächst die MAC-Firewall
(Layer 2). Wenn das Telegramm bereits auf dieser Ebene verworfen wird, dann wird es nicht
zusätzlich durch die IP-Firewall (Layer 3) geprüft. Somit kann durch entsprechende MAC-
Firewall-Regeln die IP-Kommunikation eingeschränkt oder geblockt werden.
4.10.3.2

Schreibweise der Quell-IP-Adresse (erweiterter Firewall-Modus)

Wenn Sie in den erweiterten Firewall-Einstellungen des CP bei der Quell-IP-Adresse einen
Adressbereich angeben, achten Sie auf die richtige Schreibweise:
● Trennen Sie die beiden IP-Adressen nur durch einen Bindestrich.
Richtig: 192.168.10.0-192.168.10.255
● Geben Sie keine weiteren Zeichen zwischen die beiden IP-Adressen ein.
Falsch: 192.168.10.0 - 192.168.10.255
Wenn Sie den Bereich falsch eingeben, wird die Firewall-Regel nicht angewendet.
4.10.3.3 Firewall-Einstellungen für projektierte Verbindungen über VPN-Tunnel
IP-Regeln im erweiterten Firewall-Modus
Wenn Sie projektierte Verbindungen mit VPN-Tunnel zwischen dem CP und einem
Kommunikationspartner einrichten, dann müssen Sie die lokalen Firewall-Einstellungen des
CP anpassen:
Wählen Sie für die Verbindungen im erweiterten Firewall-Modus ("Security > Firewall > IP-
Regeln") für beide Kommunikationsrichtungen des VPN-Tunnels die Aktion "Allow*" aus.
Siehe hierzu Kapitel Einstellungen für Online-Security-Diagnose und Laden in Station bei
aktivierter Firewall (Seite 56).
4.10.3.4 Einstellungen für Online-Security-Diagnose und Laden in Station bei aktivierter Firewall
Firewall für Online-Funktionen einstellen
Gehen Sie bei aktivierten Security-Funktionen wie folgt vor.
Globale Security-Funktionen:
1. Wählen Sie den Eintrag "Firewall > Dienste > Dienste für IP-Regeln definieren".
2. Wählen Sie das Register "ICMP".
3. Fügen Sie jeweils einen neuen Eintrag vom Typ "Echo Reply" und "Echo Request" ein.
56
Betriebsanleitung, 12/2018, C79000-G8900-C365-05
CP 1243-1