Transkript

1 sdokument: Sicherer Remote Access mit VPN Industrial Security Siemens Industry Online Support

2 Siemens AG 2018 All rights reserved Inhaltsverzeichnis Rechtliche Hinweise Nutzung der Anwendungsbeispiele In den Anwendungsbeispielen wird die Lösung von Automatisierungsaufgaben im Zusammenspiel mehrerer Komponenten in Form von Text, Grafiken und/oder Software-Bausteinen beispielhaft dargestellt. Die Anwendungsbeispiele sind ein kostenloser Service der Siemens AG und/oder einer Tochtergesellschaft der Siemens AG ( Siemens ). Sie sind unverbindlich und erheben keinen Anspruch auf Vollständigkeit und Funktionsfähigkeit hinsichtlich Konfiguration und Ausstattung. Die Anwendungsbeispiele stellen keine kundenspezifischen Lösungen dar, sondern bieten lediglich Hilfestellung bei typischen Aufgabenstellungen. Sie sind selbst für den sachgemäßen und sicheren Betrieb der Produkte innerhalb der geltenden Vorschriften verantwortlich und müssen dazu die Funktion des jeweiligen Anwendungsbeispiels überprüfen und auf Ihre Anlage individuell anpassen. Sie erhalten von Siemens das nicht ausschließliche, nicht unterlizenzierbare und nicht übertragbare Recht, die Anwendungsbeispiele durch fachlich geschultes Personal zu nutzen. Jede Änderung an den Anwendungsbeispielen erfolgt auf Ihre Verantwortung. Die Weitergabe an Dritte oder Vervielfältigung der Anwendungsbeispiele oder von Auszügen daraus ist nur in Kombination mit Ihren eigenen Produkten gestattet. Die Anwendungsbeispiele unterliegen nicht zwingend den üblichen Tests und Qualitätsprüfungen eines kostenpflichtigen Produkts, können Funktions- und Leistungsmängel enthalten und mit Fehlern behaftet sein. Sie sind verpflichtet, die Nutzung so zu gestalten, dass eventuelle Fehlfunktionen nicht zu Sachschäden oder der Verletzung von Personen führen. Haftungsausschluss Siemens schließt seine Haftung, gleich aus welchem Rechtsgrund, insbesondere für die Verwendbarkeit, Verfügbarkeit, Vollständigkeit und Mangelfreiheit der Anwendungsbeispiele, sowie dazugehöriger Hinweise, Projektierungs- und Leistungsdaten und dadurch verursachte Schäden aus. Dies gilt nicht, soweit Siemens zwingend haftet, z.b. nach dem Produkthaftungsgesetz, in Fällen des Vorsatzes, der groben Fahrlässigkeit, wegen der schuldhaften Verletzung des Lebens, des Körpers oder der Gesundheit, bei Nichteinhaltung einer übernommenen Garantie, wegen des arglistigen Verschweigens eines Mangels oder wegen der schuldhaften Verletzung wesentlicher Vertragspflichten. Der Schadensersatzanspruch für die Verletzung wesentlicher Vertragspflichten ist jedoch auf den vertragstypischen, vorhersehbaren Schaden begrenzt, soweit nicht Vorsatz oder grobe Fahrlässigkeit vorliegen oder wegen der Verletzung des Lebens, des Körpers oder der Gesundheit gehaftet wird. Eine Änderung der Beweislast zu Ihrem Nachteil ist mit den vorstehenden Regelungen nicht verbunden. Von in diesem Zusammenhang bestehenden oder entstehenden Ansprüchen Dritter stellen Sie Siemens frei, soweit Siemens nicht gesetzlich zwingend haftet. Durch Nutzung der Anwendungsbeispiele erkennen Sie an, dass Siemens über die beschriebene Haftungsregelung hinaus nicht für etwaige Schäden haftbar gemacht werden kann. Weitere Hinweise Siemens behält sich das Recht vor, Änderungen an den Anwendungsbeispielen jederzeit ohne Ankündigung durchzuführen. Bei Abweichungen zwischen den Vorschlägen in den Anwendungsbeispielen und anderen Siemens Publikationen, wie z. B. Katalogen, hat der Inhalt der anderen Dokumentation Vorrang. Ergänzend gelten die Siemens Nutzungsbedingungen ( Securityhinweise Siemens bietet Produkte und Lösungen mit Industrial Security-Funktionen an, die den sicheren Betrieb von Anlagen, Systemen, Maschinen und Netzwerken unterstützen. Um Anlagen, Systeme, Maschinen und Netzwerke gegen Cyber-Bedrohungen zu sichern, ist es erforderlich, ein ganzheitliches Industrial Security-Konzept zu implementieren (und kontinuierlich aufrechtzuerhalten), das dem aktuellen Stand der Technik entspricht. Die Produkte und Lösungen von Siemens formen nur einen Bestandteil eines solchen Konzepts. Der Kunde ist dafür verantwortlich, unbefugten Zugriff auf seine Anlagen, Systeme, Maschinen und Netzwerke zu verhindern. Systeme, Maschinen und Komponenten sollten nur mit dem Unternehmensnetzwerk oder dem verbunden werden, wenn und soweit dies notwendig ist und entsprechende Schutzmaßnahmen (z.b. Nutzung von Firewalls und Netzwerksegmentierung) ergriffen wurden. Zusätzlich sollten die Empfehlungen von Siemens zu entsprechenden Schutzmaßnahmen beachtet werden. Weiterführende Informationen über Industrial Security finden Sie unter: Die Produkte und Lösungen von Siemens werden ständig weiterentwickelt, um sie noch sicherer zu machen. Siemens empfiehlt ausdrücklich, Aktualisierungen durchzuführen, sobald die entsprechenden Updates zur Verfügung stehen und immer nur die aktuellen Produktversionen zu verwenden. Die Verwendung veralteter oder nicht mehr unterstützter Versionen kann das Risiko von Cyber-Bedrohungen erhöhen. Um stets über Produkt-Updates informiert zu sein, abonnieren Sie den Siemens Industrial Security RSS Feed unter: Beitrags-ID: , V3.0, 05/2018 2

3 Siemens AG 2018 All rights reserved Inhaltsverzeichnis Inhaltsverzeichnis Rechtliche Hinweise Bemerkungen zum Dokument Veranlassung und Zielsetzung Eigenschaften und Nutzen Strukturierung des Dokuments Einführung in Remote Networks Remote Networks & Industrial Security Security Integrated-Produktportfolio SINEMA Remote Connect SOFTNET Security Client SCALANCE S615, SCALANCE SC63x-2C und SC64x-2C SCALANCE M CP TS Adapter IE Advanced LOGO! VPN mit IPsec VPN-Tunnel zwischen zwei SCALANCE SC VPN-Tunnel zwischen SCALANCE S () und SCALANCE M81x VPN-Tunnel zwischen SCALANCE S () und SOFTNET Security Client VPN-Tunnel zwischen SCALANCE S () und CP x43-1 Advanced VPN-Tunnel zwischen SCALANCE S () und SCALANCE M874-x VPN-Tunnel zwischen SCALANCE S () und einem Mobile-Client VPN-Tunnel zwischen SCALANCE M81x-1 () und SCALANCE M81x VPN-Tunnel zwischen SCALANCE S615 () und SOFTNET Security Client VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE S VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M81x VPN-Tunnel zwischen CP x43-1 Advanced () und SOFTNET Security Client VPN-Tunnel zwischen CP x43-1 Advanced () und CP x43-1 Advanced VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M874-x VPN-Tunnel zwischen CP x43-1 Advanced () und einem Mobile-Client VPN-Tunnel zwischen CP 1x43-1 () und SOFTNET Security Client VPN-Tunnel zwischen CP 1x43-1 () und CP 1x VPN-Tunnel zwischen CP 1543SP-1 () und SCALANCE S VPN über OpenVPN VPN-Tunnel zwischen SINEMA Remote Connect Server und einem Tablet (ios) Beitrags-ID: , V3.0, 05/2018 3

4 Siemens AG 2018 All rights reserved Inhaltsverzeichnis 4.2 VPN-Tunnel zwischen SINEMA RC Server und einem Smartphone (Android) VPN-Tunnel zwischen SCALANCE S615 und SINEMA RC Client über den SINEMA RC Server VPN-Tunnel zwischen SCALANCE S615 und einem Tablet (ios) über den SINEMA RC Server VPN-Tunnel zwischen SCALANCE S615 und einem Smartphone (Android) über den SINEMA RC Server VPN-Tunnel zwischen zwei identischen Anlagenteilen mit S615 und SINEMA RC Client über den SINEMA RC Server durch Verwendung der NAT-Funktion JumpHost Applikation mit SINEMA RC Server VPN-Tunnel zwischen LOGO! () und einem PC VPN über SSTP VPN-Tunnel zwischen TS Adapter IE Advanced () und Windows SSTP-Client VPN-Tunnel zwischen TS Adapter IE Advanced () und TIA Portal Anhang Service und Support Links und Literatur Änderungsdokumentation Beitrags-ID: , V3.0, 05/2018 4

5 Siemens AG 2018 All rights reserved 1 Bemerkungen zum Dokument 1.1 Veranlassung und Zielsetzung 1 Bemerkungen zum Dokument 1.1 Veranlassung und Zielsetzung Veranlassung Zielsetzung Um eine gesicherte Kommunikation zu realisieren, gibt es zahlreiche unterschiedliche, immer an die Applikation angepasste Möglichkeiten. Alle Möglichkeiten basieren auf dem Security Integrated-Produktportfolio. Für den Anwender stellen sich daher bei der Suche nach einer optimalen Lösung folgende Fragen: Welche Lösungen gibt es überhaupt? Wie unterscheiden sich die Lösungen? Das Security-Integrated Portfolio umfasst mehrere Produkte, die untereinander kombinierbar sind. Dadurch entsteht eine Vielzahl an Konfigurationsmöglichkeiten. Dieses Dokument hilft Ihnen, eine optimale Lösung für eine gesicherte Kommunikation auf Basis von VPN zu finden. 1.2 Eigenschaften und Nutzen Eigenschaften Das Dokument hat folgende Eigenschaften: übersichtlicher und kompakter Aufbau stichpunktartiger Inhalt und sgrafik der Einzelkonfigurationen Es werden keine Details beschrieben; diese sind in den Einzelkonfigurationen vorhanden. Nutzen Das Dokument bietet dem Leser folgenden Nutzen: Unterstützung bei Planung und Projektierung Schnelles Finden von Informationen bzgl. der Konfigurationsmöglichkeiten Kurze und kompakte der Merkmale Verweis auf die Einzelkonfigurationen Beitrags-ID: , V3.0, 05/2018 5

6 Siemens AG 2018 All rights reserved 1 Bemerkungen zum Dokument 1.3 Strukturierung des Dokuments 1.3 Strukturierung des Dokuments Das Security-Integrated Portfolio von Siemens umfasst mehrere Produkte, die untereinander kombinierbar sind. Dadurch entsteht eine Vielzahl an Konfigurationsmöglichkeiten. Dieses Dokument beinhaltet eine Auswahl der möglichen Konstellationen Jede Konfiguration wird dabei in einer sgrafik dargestellt, die aufgelistet, der Link zur detaillierten Konfigurationsbeschreibung angegeben. SIMATIC-unabhängig Die VPN-Lösungen mit den SCALANCE-Baugruppen, mit dem TS-Adapter oder SINEMA Remote Connect sind SIMATIC-unabhängig, d.h. die Applikation hinter dem VPN-Tunnel muss keine SIMATIC-Applikation sein. Der Zugriff auf andere Applikationen ist ebenso möglich. SIMATIC-basiert Die VPN-Lösungen mit den CPs sind SIMATIC-basiert, da eine SIMATIC CPU benötigt wird, um den CP zu betreiben. Mit diesen Konfigurationen kann aber über den CP auch auf "Nicht-SIMATIC"-Anlagenteile zugegriffen werden. Beitrags-ID: , V3.0, 05/2018 6

7 Siemens AG 2018 All rights reserved 2 Einführung in Remote Networks 2.1 Remote Networks & Industrial Security 2 Einführung in Remote Networks 2.1 Remote Networks & Industrial Security Remote Networks Remote Networks sind öffentliche oder private Kommunikationsinfrastrukturen zur Abdeckung großer Bereiche oder großer Entfernungen, wie beispielsweise Mobilfunk oder Festnetz. Die geografische Verteilung von Automatisierungszellen erhöht den Bedarf für Telecontrol (Fernwirken) und Teleservice (Fernwarten/Diagnose) in einem Remote Network. Das umfassende Remote Networks Portfolio von Siemens bietet sowohl die Anbindung an klassische (Standleitung, Telefon) als auch an IP-basierte Infrastrukturen (z. B. ). Applikationen Mögliche Fernzugriff-Applikationen in einem Remote Network sind: Telecontrol Anbindung räumlich weit verteilter Unterstationen (Remote Terminal Units RTUs) an ein oder mehrere zentrale Leitsysteme zum Zweck der Überwachung und Steuerung. Teleservice Datenaustausch mit räumlich entfernten, technischen Anlagen wie Maschinen, Anlagen und Computern zum Zweck der Fehlererkennung, Diagnose, Wartung, Reparatur und Optimierung. Integration in das Industrial Security-Konzept Der Fokus dieses Dokuments liegt bei den IP-basierten Netzwerken. Da der Fernzugriff auf die Anlage über ein öffentliches Netz (z. B. ) stattfindet, ist der Schutz vor Datenmanipulation und Spionage besonders wichtig. Hierfür werden Virtual Private Networks (VPN) eingesetzt. VPN Ein VPN bezeichnet ein privates Netzwerk, das zur Übertragung der Daten an ein privates Zielnetz ein öffentliches Netzwerk (z. B. ) als Transitnetzwerk benutzt. Die privaten Netze und das Transitnetzwerk müssen dabei untereinander nicht kompatibel sein. VPN nutzt dafür zwar die Adressierungsmechanismen des Transitnetzwerks, verwendet aber eigene Netzwerkpakete, um den Transport privater Datenpakete von den anderen zu trennen. Diese Tatsache lässt die privaten Netzwerke wie ein gemeinsames, logisches (virtuelles) Netzwerk erscheinen. Für den Aufbau eines VPN werden VPN- benötigt. Um einen VPN aufzubauen, stehen verschiedene Protokolle zur Verfügung, z. B. IPsec, OpenVPN, SSTP. und Die Teilnehmer einer gesicherten Datenkommunikation über VPN nehmen unterschiedliche Rollen ein: Beitrags-ID: , V3.0, 05/2018 7

8 Siemens AG 2018 All rights reserved 2 Einführung in Remote Networks 2.1 Remote Networks & Industrial Security Der Tunnelendpunkt, der den VPN-Verbindungsaufbau aktiv startet, wird als VPN- Client bezeichnet. Die Gegenstelle, die auf den wartet, heißt. Hinweis Mehr Informationen über das Siemens Security Konzept finden Sie in Kapitel 6.2. Beitrags-ID: , V3.0, 05/2018 8

9 Siemens AG 2018 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio 2.2 Security Integrated-Produktportfolio Durch die Kombination unterschiedlicher Sicherheitsmaßnahmen wie Firewall und VPN schützen die Security-Baugruppen einzelne Geräte oder auch ganze Automatisierungszellen vor: Datenspionage Datenmanipulation unerwünschten Zugriffen In der folgenden Abbildung werden die Remote Access Zellen dargestellt. Abbildung 2-1 Service PCs SSC SINEMA RC SCALANCE M874-x oder M876-3 Smartphone mit IPSec Client App SCALANCE SC Windows SSTP SCALANCE M81x-1 Automatisierungszellen SCALANCE SC SIMATIC S7 Stationen SCALANCE M874-x oder M876-3 SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced SIMATIC S7-1x00 mit CP 1x43-1 TS Adapter IE Advanced SIMATIC S7 Stationen SCALANCE M81x-1 SIMATIC S7 Stationen SIMATIC S7 Stationen Um Sie bei der Produktauswahl zu unterstützen, werden hier die wichtigsten Merkmale der jeweiligen Security-Baugruppen beschrieben. Beitrags-ID: , V3.0, 05/2018 9

10 Siemens AG 2018 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio SINEMA Remote Connect SINEMA Remote Connect ist eine Managementplattform für Remote Networks, welche zentral sichere Tunnelverbindungen verwaltet. So können weitverteilte Anlagen oder Maschinen über Fernzugriff komfortabel und sicher gewartet werden. Auch, wenn die Maschinen in fremden Netzwerken eingebunden sind. Zum Beispiel in den Anlagen bei Endkunden von Maschinenbauern. Bestandteile einer Lösung mit SINEMA Remote Connect sind: SINEMA Remote Connect als Endgeräte (): Industrial Security Appliances: SCALANCE S-600 und SC-600 Mobilfunkgeräte SCALANCE M-800 SIMATIC RTU3030C SIMATIC CP SIMATIC CP1543(SP)-1 SINEMA Remote Connect Client SINEMA Remote Connect Server SINEMA Remote Connect Server ist eine Server-Applikation und bietet ein durchgängiges Verbindungsmanagement von verteilten Netzwerken über das. Sie koordiniert den sicheren Verbindungsaufbau zwischen Anwendern, weitverteilten Anlagen und Maschinen. Folgende Funktionen übernimmt der SINEMA Remote Connect Server: Verwaltung und Aufbau verschlüsselter Verbindungen mit OpenVPN und IPsec. Verifizierung über CA-Zertifikat oder Fingerprint. Nutzerverwaltung mit der Projektierung von Rechten. Aufbau permanent oder Event-basierter Verbindungen (Aufbau per Wake-up- SMS oder durch ein Signal am digitalen Eingang). Unterstützung von Routing und NAT zur Anbindung von Subnetzen hinter dem SCALANCE. Bereitstellung eines sicheren Fernzugriffs auf unterlagerte Netzwerke zu Wartungs-, Steuerungs- und Diagnosezwecken. Web Based Management (WBM) für die Konfiguration des Servers. SINEMA Remote Connect Client Der SINEMA Remote Connect Client ist eine Open-Software zur optimalen Anbindung von Programmiergeräten, PCs und Notebooks an den SINEMA Remote Connect Server. Er zeichnet sich durch folgende Eigenschaften aus: Unterstützung von VPN (OpenVPN) zur sicheren Authentifizierung der Netzteilnehmer, zur Verschlüsselung der Daten und Überprüfung der Datenintegrität. Einfachste Anbindung an SINEMA Remote Connect via Auto-Konfigurations- Schnittstelle. Telefonbuch mit allen einem Nutzer zugeordneten Geräten. Beitrags-ID: , V3.0, 05/

11 Siemens AG 2018 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio Proxy-Server zur Kommunikation mit Netzen hinter einer Proxy-Server Infrastruktur. Unterstützung von HTTPS und SOCKS Proxy Server. Selektion eines Gerätes zur Durchführung von Teleservice im SIMATIC Umfeld SOFTNET Security Client Der SOFTNET Security Client ermöglicht Programmiergeräten, PCs und Notebooks den Zugriff auf durch SCALANCE S, SCALANCE M oder CPs geschützte Netzwerkteilnehmer bzw. Automatisierungssysteme. Er zeichnet sich durch folgende Eigenschaften aus: Sicherer Zugriff von Programmiergeräten oder Notebooks auf komplette Automatisierungszellen. Einfacher Einsatz auf mobilen PCs. Nicht-sichere Geräte können in den sicheren Datenverkehr eingebunden werden. Unterstützung der DNS-Client-Funktion SCALANCE S615, SCALANCE SC63x-2C und SC64x-2C Der SCALANCE ist eine Security Baugruppe zur Absicherung von Geräten, Automatisierungszellen oder Netzsegmenten in Ethernet Netzwerken gegen äußere und innere Gefahren. Der SCALANCE S615 bzw. SCALANCE SC zeichnet sich unter anderem durch folgende Funktionen aus: Unterstützung von VPN zur sicheren Authentifizierung der Netzteilnehmer, zur Verschlüsselung der Daten und Überprüfung der Datenintegrität. IPsec-VPN-Tunnel (Server- und Client-Funktionalität) OpenVPN zur Anbindung an SINEMA Remote Connect (Client-Funktion) Hochwertige Stateful Inspection Firewall mit Filterung von IP-basiertem Datenverkehr und Kommunikationsprotokollen. Unterstützung von NAT/NAPT; auch in Verbindung mit IPsec und OpenVPN. Unterstützung von VLAN. Flexibler, rückwirkungsfreier und protokollunabhängiger Schutz. Unterstützung von mehreren VPN-Tunneln gleichzeitig. Einfachste Anbindung an SINEMA Remote Connect via Auto-Konfigurations- Schnittstelle (S615: freischaltbar mit dem KEY-PLUG SINEMA REMOTE CONNECT). Die SCALANCE SC verfügen über 2x Combo Port elektrisch oder optisch. Beitrags-ID: , V3.0, 05/

12 Siemens AG 2018 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio SCALANCE M-800 SCALANCE M87x Die SCALANCE M-87x sind für das Mobilfunknetz geeignet. SCALANCE M874-2 EGPRS / GPRS (2G): 850, 900, 1800 oder 1900 MHz SCALANCE M874-3 / M876-3 UMTS (3G): 800, 850, 900, 1900 oder 2100 MHz SCALANCE M876-4 LTE (4G): 800, 900, 1800, 2100 oder 2600 MHz Diese Baugruppen zeichnen sich durch folgende Eigenschaften aus: Unterstützung von VPN zur sicheren Authentifizierung der Netzteilnehmer, zur Verschlüsselung der Daten und Überprüfung der Datenintegrität. IPsec-VPN-Tunnel (Server- und Client-Funktionalität) OpenVPN zur Anbindung an SINEMA Remote Connect (Client-Funktion) Breiter Einsatzbereich; überall dort einsetzbar, wo ein Mobilfunk-Netz verfügbar ist. Senden und empfangen von SMS. Unterstützung von RSTP und VRRPv3. Anschluss von ortsfesten Stationen und/ oder mobilen Teilnehmern. Einfachheit bei der Verbindung von lokalen Netzen mittels IP-Kommunikation über WAN. Benutzerspezifische IP-Firewall zur Unterscheidung und Differenzierung der Zugriffe auf bestimmte Anlagenteile. Einfachste Anbindung an SINEMA Remote Connect via Auto-Konfigurations- Schnittstelle (freischaltbar mit dem KEY-PLUG SINEMA REMOTE CONNECT). SCALANCE M81x-1, M826 Diese SCALANCE sind DSL- für die kostengünstige und sichere Anbindung von Ethernet-basierten Subnetzen und Automatisierungsgeräten an kabelgebundene Telefon- bzw. DSL-Netze. Sie unterstützen ADSL2+ (Asynchronous Digital Subscriber Line) bzw. SHDSL. Diese Baugruppen zeichnen sich durch folgende Eigenschaften aus: Schutz mehrerer Geräte gleichzeitig durch IPsec-Tunnel. VPN- und DSL- in einem Gerät; somit entfällt der Einsatz eines separaten DSL-s. Breiter Einsatzbereich durch hohe Bandbreite, Performance und Geschwindigkeit. Unterstützung von RSTP und VRRPv3. Reduzierung von Reise- und Personalkosten durch Fernprogrammierung und Ferndiagnose über drahtgebundene Telefon- bzw. DSL-Netze. Benutzerspezifische IP-Firewall zur Unterscheidung und Differenzierung der Zugriffe auf bestimmte Anlagenteile. Einfachste Anbindung an SINEMA Remote Connect via Auto-Konfigurations- Schnittstelle (freischaltbar mit dem KEY-PLUG SINEMA REMOTE CONNECT). Beitrags-ID: , V3.0, 05/

13 Siemens AG 2018 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio CP CP x43-1 Advanced Der CP Advanced und der CP Advanced sind Kommunikationsprozessoren für den Anschluss von SIMATIC S7 CPUs an PROFINET / Industrial Ethernet Netzwerke. Sie bilden für die SIMATIC S7-300 bzw. S7-400 die Brücke zwischen Feldebene und Leitebene und schließen nahtlos an die Security-Strukturen der Office- und IT- Welt an. Diese Baugruppen zeichnen sich durch folgende Eigenschaften aus: Firewall, VPN-Gateway und Kommunikationsprozessor in einem Gerät Schutz von S7-300 bzw. S7-400 Steuerungen und deren unterlagerten Netzwerken durch IPsec-Tunnel. CP 1x43-x Der Kommunikationsprozessor CP 1243-x verbindet die Steuerung SIMATIC S sicher mit Ethernet-Netzwerken. Der Kommunikationsprozessor CP verbindet die Steuerung SIMATIC S sicher mit Ethernet-Netzwerken. Der Kommunikationsprozessor CP 1543P-1 verbindet die Steuerung SIMATIC ET200SP sicher mit Ethernet-Netzwerken. Diese Baugruppen zeichnen sich durch folgende Eigenschaften aus: Firewall, VPN-Gateway und Kommunikationsprozessor in einem Gerät Schutz von S7-1x00/ ET 200SP Steuerungen und deren unterlagerten Netzwerken durch IPsec-Tunnel. CP 1628 Der CP 1628 ist eine Kommunikationsbaugruppe für den sicheren Anschluss von PG/PC an. Mit einem eigenem Prozessor für Automatisierungs- /Sicherheitsaufgaben entlastet der CP 1628 den Host-PC und stellt eine konstante, stabile und sichere Datenkommunikation zur Verfügung. Diese Baugruppe zeichnet sich durch folgende Eigenschaften aus: Firewall, VPN-Gateway und Kommunikationsprozessor in einem Gerät. Schutz mehrerer Geräte gleichzeitig durch IPsec-Tunnel. Beitrags-ID: , V3.0, 05/

14 Siemens AG 2018 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio TS Adapter IE Advanced Der TS Adapter IE Advanced ermöglicht in Verbindung mit TIA Portal (ab V12 SP1) den Zugriff über das auf alle Automatisierungskomponenten (z. B. S7- Steuerungen), die auf der Anlage am angeschlossen sind. Diese Baugruppe zeichnet sich durch folgende Eigenschaften aus: Neben dem TIA Portal wird keine weitere Software oder Hardware zum VPN- Verbindungsaufbau () benötigt. 1 Schutz von S7- Steuerungen und deren unterlagerten Netzwerken durch SSTP- Tunnel LOGO! Die LOGO! ist ein intelligentes Logikmodul und eignet sich ideal für die Realisierung einfacher Automatisierungsaufgaben in Industrie und Gebäudetechnik. Durch den Einsatz von Erweiterungsmodulen kann die LOGO! selbst komplexe Anlagen problemlos steuern. Mit dem LOGO! CMR in Kombination mit den LOGO! 8 Basismodulen (BM) können Sie dezentrale Anlagen und Systeme über SMS überwachen und steuern. Sie können über eine gesicherte Mobilfunk-Verbindung auf die Web-Oberfläche des LOGO! CMR und des LOGO! BM aus der Ferne zugreifen. Mit dem Remote Access können Sie z. B. das Programm der LOGO! BM auch aus der Ferne aufspielen. 1 -Anschluss und ein DSL-Modem sind für den Zugriff ins benötigt. Beitrags-ID: , V3.0, 05/

15 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.1 VPN-Tunnel zwischen zwei SCALANCE SC 3 VPN mit IPsec 3.1 VPN-Tunnel zwischen zwei SCALANCE SC Abbildung 3-1 Service PC Automatisierungszelle SCALANCE SC SCALANCE SC Modem/ VPN Tunnel SIMATIC S7 Stationen öffentliche IP-Adresse für den - des s - mit Port-Forwarding-Funktionalität (-seitig) Standard -Modem, oder UMTS- z. B. SCALANCE M-800 (-seitig) Beitrags-ID: , V3.0, 05/

16 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.2 VPN-Tunnel zwischen SCALANCE S () und SCALANCE M81x VPN-Tunnel zwischen SCALANCE S () und SCALANCE M81x-1 Abbildung 3-2 Service PC SCALANCE S SCALANCE M81x-1 Automatisierungszelle VPN tunnel SIMATIC S7 Stationen öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Beitrags-ID: , V3.0, 05/

17 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.3 VPN-Tunnel zwischen SCALANCE S () und SOFTNET Security Client 3.3 VPN-Tunnel zwischen SCALANCE S () und SOFTNET Security Client Abbildung 3-3 Service PC mit SOFTNET Security Client SSC Modem/ SCALANCE S Automatisierungszelle VPN tunnel SIMATIC S7 Stationen öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

18 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.4 VPN-Tunnel zwischen SCALANCE S () und CP x43-1 Advanced 3.4 VPN-Tunnel zwischen SCALANCE S () und CP x43-1 Advanced Abbildung 3-4 Service PC Automatisierungszelle SCALANCE S Modem/ SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

19 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.5 VPN-Tunnel zwischen SCALANCE S () und SCALANCE M874-x 3.5 VPN-Tunnel zwischen SCALANCE S () und SCALANCE M874-x Abbildung 3-5 Service PC SCALANCE S SCALANCE M874-x Automatisierungszelle VPN tunnel SIMATIC S7 Stationen öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Beitrags-ID: , V3.0, 05/

20 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.6 VPN-Tunnel zwischen SCALANCE S () und einem Mobile-Client 3.6 VPN-Tunnel zwischen SCALANCE S () und einem Mobile-Client Abbildung 3-6 Smartphone mit IPSec Client App SCALANCE S Automatisierungszelle VPN tunnel SIMATIC S7 Stationen öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Smartphone mit IPsec Client App und Android-Betriebssystem (-seitig). Beitrags-ID: , V3.0, 05/

21 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.7 VPN-Tunnel zwischen SCALANCE M81x-1 () und SCALANCE M81x VPN-Tunnel zwischen SCALANCE M81x-1 () und SCALANCE M81x-1 Abbildung 3-7 Service PC SCALANCE M81x-1 SCALANCE M81x-1 Automatisierungszelle VPN tunnel SIMATIC S7 Stationen öffentliche IP-Adresse für den SCALANCE M81x-1 (-seitig). Beitrags-ID: , V3.0, 05/

22 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.8 VPN-Tunnel zwischen SCALANCE S615 () und SOFTNET Security Client 3.8 VPN-Tunnel zwischen SCALANCE S615 () und SOFTNET Security Client Abbildung 3-8 Service PC mit SOFTNET Security Client SSC Modem/ S615 Automatisierungszelle VPN tunnel SIMATIC S7 Stationen öffentliche IP-Adresse für den - des s - mit Port-Forwarding-Funktionalität (-seitig) Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

23 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.9 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE S 3.9 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE S Abbildung 3-9 Service PC Automatisierungszelle SCALANCE S Modem/ SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

24 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.10 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M81x VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M81x-1 Abbildung 3-10 Service PC SCALANCE M81x-1 Automatisierungszelle SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Beitrags-ID: , V3.0, 05/

25 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.11 VPN-Tunnel zwischen CP x43-1 Advanced () und SOFTNET Security Client 3.11 VPN-Tunnel zwischen CP x43-1 Advanced () und SOFTNET Security Client Abbildung 3-11 Service PC mit SOFTNET Security Client SSC Modem/ Automatisierungszelle SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

26 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.12 VPN-Tunnel zwischen CP x43-1 Advanced () und CP x43-1 Advanced 3.12 VPN-Tunnel zwischen CP x43-1 Advanced () und CP x43-1 Advanced Abbildung 3-12 Automatisierungszelle A Automatisierungszelle B SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced Modem/ SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

27 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.13 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M874-x 3.13 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M874-x Abbildung 3-13 Service PC SCALANCE M874-x Automatisierungszelle SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Beitrags-ID: , V3.0, 05/

28 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.14 VPN-Tunnel zwischen CP x43-1 Advanced () und einem Mobile-Client 3.14 VPN-Tunnel zwischen CP x43-1 Advanced () und einem Mobile-Client Abbildung 3-14 Smartphone mit IPSec Client App VPN tunnel Automatisierungszelle SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Smartphone mit IPsec Client App mit Android-Betriebssystem (-seitig). Beitrags-ID: , V3.0, 05/

29 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.15 VPN-Tunnel zwischen CP 1x43-1 () und SOFTNET Security Client 3.15 VPN-Tunnel zwischen CP 1x43-1 () und SOFTNET Security Client Abbildung 3-15 Service PC mit SOFTNET Security Client SSC Modem/ Automatisierungszelle SIMATIC S oder S mit CP 1x43-1 VPN tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

30 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.16 VPN-Tunnel zwischen CP 1x43-1 () und CP 1x VPN-Tunnel zwischen CP 1x43-1 () und CP 1x43-1 Abbildung 3-16 Automatisierungszelle A Automatisierungszelle B SIMATIC S oder S mit CP 1x43-1 Modem/ SIMATIC S oder S mit CP 1x43-1 VPN tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

31 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.16 VPN-Tunnel zwischen CP 1x43-1 () und CP 1x43-1 Beitrags-ID: , V3.0, 05/

32 Siemens AG 2018 All rights reserved 3 VPN mit IPsec 3.17 VPN-Tunnel zwischen CP 1543SP-1 () und SCALANCE S VPN-Tunnel zwischen CP 1543SP-1 () und SCALANCE S615 Abbildung 3-17 Service PC SCALANCE S615 Modem/ ET 200SP CPU mit CP 1543SP-1 VPN Tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

33 Siemens AG 2018 All rights reserved 4 VPN über OpenVPN 4.1 VPN-Tunnel zwischen SINEMA Remote Connect Server und einem Tablet (ios) 4 VPN über OpenVPN 4.1 VPN-Tunnel zwischen SINEMA Remote Connect Server und einem Tablet (ios) Abbildung 4-1 Zentrale Servicetechniker mit mobilem Endgerät SINEMA Remote Connect Server WAN VPN Tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Tablet mit "Open"-App und ios-betriebssystem (-seitig). Standard - mit WLAN-Funktionalität (-seitig). Beitrags-ID: , V3.0, 05/

34 Siemens AG 2018 All rights reserved 4 VPN über OpenVPN 4.2 VPN-Tunnel zwischen SINEMA RC Server und einem Smartphone (Android) 4.2 VPN-Tunnel zwischen SINEMA RC Server und einem Smartphone (Android) Abbildung 4-2 VPN Tunnel Zentrale SINEMA Remote Connect Server WAN Servicetechniker mit mobilem Endgerät öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Smartphone mit "Open"-App und Android-Betriebssystem (-seitig). Beitrags-ID: , V3.0, 05/

35 Siemens AG 2018 All rights reserved 4 VPN über OpenVPN 4.3 VPN-Tunnel zwischen SCALANCE S615 und SINEMA RC Client über den SINEMA RC Server 4.3 VPN-Tunnel zwischen SCALANCE S615 und SINEMA RC Client über den SINEMA RC Server Abbildung 4-3 SINEMA Remote Connect Server Zentrale S615 Automatisierungszelle WAN Servicetechniker VPN Tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

36 Siemens AG 2018 All rights reserved 4 VPN über OpenVPN 4.4 VPN-Tunnel zwischen SCALANCE S615 und einem Tablet (ios) über den SINEMA RC Server 4.4 VPN-Tunnel zwischen SCALANCE S615 und einem Tablet (ios) über den SINEMA RC Server Abbildung 4-4 Zentrale SINEMA Remote Connect Server S615 Automatisierungszelle WAN Servicetechniker VPN Tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Tablet mit "Open"-App und ios-betriebssystem (-seitig). Beitrags-ID: , V3.0, 05/

37 Siemens AG 2018 All rights reserved 4 VPN über OpenVPN 4.5 VPN-Tunnel zwischen SCALANCE S615 und einem Smartphone (Android) über den SINEMA RC Server 4.5 VPN-Tunnel zwischen SCALANCE S615 und einem Smartphone (Android) über den SINEMA RC Server Abbildung 4-5 Zentrale SINEMA Remote Connect Server WAN S615 Automatisierungszelle Servicetechniker VPN Tunnel öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Smartphone mit "Open"-App und Android-Betriebssystem (-seitig). Beitrags-ID: , V3.0, 05/

38 Siemens AG 2018 All rights reserved 4 VPN über OpenVPN 4.6 VPN-Tunnel zwischen zwei identischen Anlagenteilen mit S615 und SINEMA RC Client über den SINEMA RC Server durch Verwendung der NAT-Funktion 4.6 VPN-Tunnel zwischen zwei identischen Anlagenteilen mit S615 und SINEMA RC Client über den SINEMA RC Server durch Verwendung der NAT-Funktion Abbildung 4-6 Service VPN client S615 Cell 1 WAN Central SINEMA Remote Connect Server VPN client VPN server S615 Cell 2 VPN tunnel VPN client öffentliche IP-Adresse sowie Portforwarding-Funktion für den - des s. Identisches IP-Adress-Band in den Anlagenteilen Beitrags-ID: , V3.0, 05/

39 Siemens AG 2018 All rights reserved 4 VPN über OpenVPN 4.7 JumpHost Applikation mit SINEMA RC Server 4.7 JumpHost Applikation mit SINEMA RC Server Abbildung 4-7 Servicetechniker WAN Datencenter/ DMZ SINEMA RC Server JumpHost Virtual Desktop S615 Anlagennetzwerk VPN Tunnel Unternehmensnetzwerk öffentliche IP-Adresse sowie Portforwarding-Funktion für den - des s. DMZ mit SINEMA Remote Connect Server und JumpHost Virtual Desktop Beitrags-ID: , V3.0, 05/

40 Siemens AG 2018 All rights reserved 4 VPN über OpenVPN 4.8 VPN-Tunnel zwischen LOGO! () und einem PC 4.8 VPN-Tunnel zwischen LOGO! () und einem PC Abbildung 4-8 Service-PC WAN LOGO! CMR mit LOGO! BM VPN Tunnel öffentliche IP-Adresse für die SIM-Karte des s. Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V3.0, 05/

41 Siemens AG 2018 All rights reserved 5 VPN über SSTP 5.1 VPN-Tunnel zwischen TS Adapter IE Advanced () und Windows SSTP-Client 5 VPN über SSTP 5.1 VPN-Tunnel zwischen TS Adapter IE Advanced () und Windows SSTP-Client Abbildung 5-1 Service Service PC PC Modem/ Modem/ SCALANCE TS Adapter M874-x IE Advanced Automatisierungszelle VPN tunnel SIMATIC S7 Stationen öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Windows 7 oder Windows Server 2008 oder höher. Beitrags-ID: , V3.0, 05/

42 Siemens AG 2018 All rights reserved 5 VPN über SSTP 5.3 VPN-Tunnel zwischen TS Adapter IE Advanced () und TIA Portal 5.3 VPN-Tunnel zwischen TS Adapter IE Advanced () und TIA Portal Abbildung 5-2 Service PC TIA Portal Modem/ TS Adapter IE Advanced Automatisierungszelle VPN tunnel SIMATIC S7 Stationen öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). TIA Portal ab V12 SP1. Beitrags-ID: , V3.0, 05/

43 Siemens AG 2018 All rights reserved 6 Anhang 6 Anhang 6.1 Service und Support Industry Online Support Sie haben Fragen oder brauchen Unterstützung? Über den Industry Online Support greifen Sie rund um die Uhr auf das gesamte Service und Support Know-how sowie auf unsere Dienstleistungen zu. Der Industry Online Support ist die zentrale Adresse für Informationen zu unseren Produkten, Lösungen und Services. Produktinformationen, Handbücher, Downloads, FAQs und Anwendungsbeispiele alle Informationen sind mit wenigen Mausklicks erreichbar: Technical Support Der Technical Support von Siemens Industry unterstützt Sie schnell und kompetent bei allen technischen Anfragen mit einer Vielzahl maßgeschneiderter Angebote von der Basisunterstützung bis hin zu individuellen Supportverträgen. Anfragen an den Technical Support stellen Sie per Web-Formular: SITRAIN Training for Industry Serviceangebot Mit unseren weltweit verfügbaren Trainings für unsere Produkte und Lösungen unterstützen wir Sie praxisnah, mit innovativen Lernmethoden und mit einem kundenspezifisch abgestimmten Konzept. Mehr zu den angebotenen Trainings und Kursen sowie deren Standorte und Termine erfahren Sie unter: Unser Serviceangebot umfasst folgendes: Plant Data Services Ersatzteilservices Reparaturservices Vor-Ort und Instandhaltungsservices Retrofit- und Modernisierungsservices Serviceprogramme und Verträge Ausführliche Informationen zu unserem Serviceangebot finden Sie im Servicekatalog: Industry Online Support App Mit der App "Siemens Industry Online Support" erhalten Sie auch unterwegs die optimale Unterstützung. Die App ist für Apple ios, Android und Windows Phone verfügbar: Beitrags-ID: , V3.0, 05/

44 Siemens AG 2018 All rights reserved 6 Anhang 6.2 Links und Literatur Tabelle 6-1 Nr. \1\ Siemens Industry Online Support Thema \2\ Link auf die Beitragsseite des Anwendungsbeispiels \3\ Themenseite "Industrial Security"- Netzwerksicherheit Änderungsdokumentation Tabelle 6-2 Version Datum Änderung V1.0 08/2014 Erste Ausgabe V1.1 09/2015 Integration von SINEMA Remote Connect als neuer VPN- Server V2.0 11/2015 Neue Clusterung (Zusammenführung der SCALANCE M- Cluster + Integration SCALANCE S615) Löschen der Kapitel für dynamischen IP-Zugriff V2.1 03/2017 Neues Konfigurationsbeispiel (Kapitel 5.6) V3.0 05/2018 Aktualisierung der Baugruppen und Clusterung Beitrags-ID: , V3.0, 05/