SIMATIC NET. Industrial Remote Communication Remote Networks VRRPv3 projektieren. Vorwort. Einleitung. VRRPv3 konfigurieren

Transkript

1 Vorwort Einleitung 1 SIMATIC NET Industrial Remote Communication Remote Networks VRRPv3 konfigurieren 2 Firewall-Regel für VRRPv3 anlegen 3 VRRPv3 überprüfen 4 Getting Started 01/2019 C79000-G8900-C543-01

2 Rechtliche Hinweise Warnhinweiskonzept Dieses Handbuch enthält Hinweise, die Sie zu Ihrer persönlichen Sicherheit sowie zur Vermeidung von Sachschäden beachten müssen. Die Hinweise zu Ihrer persönlichen Sicherheit sind durch ein Warndreieck hervorgehoben, Hinweise zu alleinigen Sachschäden stehen ohne Warndreieck. Je nach Gefährdungsstufe werden die Warnhinweise in abnehmender Reihenfolge wie folgt dargestellt. GEFAHR bedeutet, dass Tod oder schwere Körperverletzung eintreten wird, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. WARNUNG bedeutet, dass Tod oder schwere Körperverletzung eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. VORSICHT bedeutet, dass eine leichte Körperverletzung eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. ACHTUNG bedeutet, dass Sachschaden eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. Beim Auftreten mehrerer Gefährdungsstufen wird immer der Warnhinweis zur jeweils höchsten Stufe verwendet. Wenn in einem Warnhinweis mit dem Warndreieck vor Personenschäden gewarnt wird, dann kann im selben Warnhinweis zusätzlich eine Warnung vor Sachschäden angefügt sein. Qualifiziertes Personal Das zu dieser Dokumentation zugehörige Produkt/System darf nur von für die jeweilige Aufgabenstellung qualifiziertem Personal gehandhabt werden unter Beachtung der für die jeweilige Aufgabenstellung zugehörigen Dokumentation, insbesondere der darin enthaltenen Sicherheits- und Warnhinweise. Qualifiziertes Personal ist auf Grund seiner Ausbildung und Erfahrung befähigt, im Umgang mit diesen Produkten/Systemen Risiken zu erkennen und mögliche Gefährdungen zu vermeiden. Bestimmungsgemäßer Gebrauch von Siemens-Produkten Beachten Sie Folgendes: Marken WARNUNG Siemens-Produkte dürfen nur für die im Katalog und in der zugehörigen technischen Dokumentation vorgesehenen Einsatzfälle verwendet werden. Falls Fremdprodukte und -komponenten zum Einsatz kommen, müssen diese von Siemens empfohlen bzw. zugelassen sein. Der einwandfreie und sichere Betrieb der Produkte setzt sachgemäßen Transport, sachgemäße Lagerung, Aufstellung, Montage, Installation, Inbetriebnahme, Bedienung und Instandhaltung voraus. Die zulässigen Umgebungsbedingungen müssen eingehalten werden. Hinweise in den zugehörigen Dokumentationen müssen beachtet werden. Alle mit dem Schutzrechtsvermerk gekennzeichneten Bezeichnungen sind eingetragene Marken der Siemens AG. Die übrigen Bezeichnungen in dieser Schrift können Marken sein, deren Benutzung durch Dritte für deren Zwecke die Rechte der Inhaber verletzen kann. Haftungsausschluss Wir haben den Inhalt der Druckschrift auf Übereinstimmung mit der beschriebenen Hard- und Software geprüft. Dennoch können Abweichungen nicht ausgeschlossen werden, so dass wir für die vollständige Übereinstimmung keine Gewähr übernehmen. Die Angaben in dieser Druckschrift werden regelmäßig überprüft, notwendige Korrekturen sind in den nachfolgenden Auflagen enthalten. Siemens AG Global Services Information Technology MÜNCHEN DEUTSCHLAND Dokument-Bestellnummer: C79000-G8900-C543 P 01/2019 Änderungen vorbehalten Copyright Siemens AG Alle Rechte vorbehalten

3 Vorwort Zweck Anhand eines Beispiels wird die Konfiguration von VRRPv3 gezeigt. IP-Einstellungen der Beispiele Hinweis Die in den Beispielen verwendeten IP-Einstellungen sind frei gewählt. Im realen Netzverbund müssen Sie diese IP-Einstellungen der Netzwerkumgebung anpassen, um eventuelle Adresskonflikte zu vermeiden. Allgemeine Benennung Die Bezeichnung... steht für... SCT Security Configuration Tool PST Primary Setup Tool Gerät M87x M81x M826 S615 M87x SCALANCE M874-2 SCALANCE M874-3 SCALANCE M876-3 SCALANCE M876-4 M81x SCALANCE M812-1 SCALANCE M816-1 M826 SCALANCE M826-2 M804PB SCALANCE M804PB S615 SCALANCE S615 M-800 SCALANCE M874-2 SCALANCE M874-3 SCALANCE M876-3 SCALANCE M876-4 SCALANCE M812-1 SCALANCE M816-1 SCALANCE M826-2 SCALANCE M804PB Getting Started, 01/2019, C79000-G8900-C

4 Vorwort Weiterführende Dokumentation Betriebsanleitung Diese Dokumente enthalten Informationen zu Montage, Anschließen und Zulassungen der Geräte. Die Konfiguration sowie die Einbindung der Geräte in ein Netzwerk ist nicht Gegenstand dieser Anleitung SCALANCE M874, M876 Beitrags-ID: ( SCALANCE M812, M816 Beitrags-ID: ( SCALANCE M804PB: Beitrags-ID: ( SCALANCE M826: Beitrags-ID: ( SCALANCE S615: Beitrags-ID: ( Projektierungshandbuch Web Based Management Dieses Dokument soll Sie in die Lage versetzen, Geräte über das Web Based Management in Betrieb zu nehmen und zu projektieren. SCALANCE M-800: Beitrags-ID: ( SCALANCE S615: Beitrags-ID: ( Projektierungshandbuch Command Line Interface Dieses Dokument enthält die CLI-Befehle, die von den Geräten unterstützt werden. SCALANCE M-800 Beitrags-ID: ( SCALANCE S615 Beitrags-ID: ( 4 Getting Started, 01/2019, C79000-G8900-C543-01

5 Vorwort Industrial Ethernet Security Grundlagen und Anwendung Dieses Dokument enthält Informationen zum Arbeiten mit dem SCT (Security Configuration Tool). Beitrags-ID: ( SIMATIC NET Industrial Ethernet Netzhandbuch Dieses Dokument enthält Informationen zu weiteren SIMATIC NET-Produkten, die Sie gemeinsam mit den Geräten dieser Produktlinie in einem Industrial Ethernet Netzwerk betreiben können Beitrags-ID: ( SIMATIC NET-Handbücher Die SIMATIC NET-Handbücher finden Sie auf den Internetseiten des Siemens Industry Online Support: über die Suchfunktion: Link zum Siemens Industry Online Support ( Geben Sie die Beitrags-ID des jeweiligen Handbuchs oder die Artikelnummer des Geräts als Suchbegriff ein. über die Navigation auf der linken Seite im Bereich "Industrielle Kommunikation": Link zum Bereich "Industrielle Kommunikation" ( Navigieren Sie zu der gewünschten Produktgruppe und nehmen Sie folgende Einstellungen vor: Register "Beitragsliste", Beitragstyp "Handbuch" Training, Service & Support Informationen zu Training, Service & Support finden Sie in dem mehrsprachigen Dokument "DC_support_99.pdf", welches sich auf dem mitgelieferten Datenträger mit Dokumentation befindet. SIMATIC NET-Glossar Erklärungen zu vielen Fachbegriffen, die in dieser Dokumentation vorkommen, sind im SIMATIC NET-Glossar enthalten. Sie finden das SIMATIC NET-Glossar im Internet unter folgender Adresse: ( Security-Hinweise Siemens bietet Produkte und Lösungen mit Industrial Security-Funktionen an, die den sicheren Betrieb von Anlagen, Systemen, Maschinen und Netzwerken unterstützen. Getting Started, 01/2019, C79000-G8900-C

6 Vorwort Um Anlagen, Systeme, Maschinen und Netzwerke gegen Cyber-Bedrohungen zu sichern, ist es erforderlich, ein ganzheitliches Industrial Security-Konzept zu implementieren (und kontinuierlich aufrechtzuerhalten), das dem aktuellen Stand der Technik entspricht. Die Produkte und Lösungen von Siemens formen einen Bestandteil eines solchen Konzepts. Die Kunden sind dafür verantwortlich, unbefugten Zugriff auf ihre Anlagen, Systeme, Maschinen und Netzwerke zu verhindern. Diese Systeme, Maschinen und Komponenten sollten nur mit dem Unternehmensnetzwerk oder dem Internet verbunden werden, wenn und soweit dies notwendig ist und nur wenn entsprechende Schutzmaßnahmen (z. B. Firewalls und/oder Netzwerksegmentierung) ergriffen wurden. Weiterführende Informationen zu möglichen Schutzmaßnahmen im Bereich Industrial Security finden Sie unter Die Produkte und Lösungen von Siemens werden ständig weiterentwickelt, um sie noch sicherer zu machen. Siemens empfiehlt ausdrücklich, Aktualisierungen durchzuführen, sobald die entsprechenden Updates zur Verfügung stehen und immer nur die aktuellen Produktversionen zu verwenden. Die Verwendung veralteter oder nicht mehr unterstützter Versionen kann das Risiko von Cyber-Bedrohungen erhöhen. Um stets über Produkt-Updates informiert zu sein, abonnieren Sie den Siemens Industrial Security RSS Feed unter Firmware Die Firmware ist signiert und verschlüsselt. Es ist sichergestellt, dass nur von Siemens erstellte Firmware in das Gerät geladen werden kann. Marken Folgende und eventuell weitere nicht mit dem Schutzrechtsvermerk gekennzeichnete Bezeichnungen sind eingetragene Marken der Siemens AG: SCALANCE, SINEMA, KEY-PLUG, C-PLUG 6 Getting Started, 01/2019, C79000-G8900-C543-01

7 Inhaltsverzeichnis Vorwort Einleitung VRRPv3 konfigurieren VRRPv3-Router anlegen VRRPv3-Router konfigurieren Virtuelle IP-Adresse festlegen Schnittstellenüberwachung konfigurieren Firewall-Regel für VRRPv3 anlegen VRRPv3 überprüfen Getting Started, 01/2019, C79000-G8900-C

8 Inhaltsverzeichnis 8 Getting Started, 01/2019, C79000-G8900-C543-01

9 Einleitung 1 In diesem Kapitel wird anhand einer Beispielkonfiguration die Funktion von VRRPv3 gezeigt. Mit dem Virtual Router Redundancy Protocol v3 (VRRPv3) kann dem Ausfall eines Routers in einem Netzwerk begegnet werden. Für den Aufbau der Router-Redundanz werden mehrere Geräte zu einer logischen Gruppe zusammengefasst, die zusammen den virtuellen Router bilden. Um die Geräte eindeutig einer logischen Gruppe zuordnen zu können, wird in jedem Gerät eine VRID konfiguriert. Die Geräte einer logischen Gruppe müssen die gleiche VRID haben. Dabei wird ein Gerät zum Master-Router erklärt und die anderen werden Backup-Router. Diesem Master-Router werden eine virtuelle IP-Adresse und eine MAC-Adresse zugeordnet. Der gesamte Datenverkehr wird über den Master-Router abgewickelt. Wenn der Master-Router ausfällt, werden die virtuelle IP-Adresse und die MAC-Adresse an den Backup-Router übertragen, der die Rolle des Master-Routers übernimmt. Innerhalb von drei Sekunden wird damit die Kommunikation wieder hergestellt. In dieser Beispielkonfiguration soll die Station 1 redundant an das Internet angekoppelt werden, um auch bei Ausfall eines Routers die Datenkommunikation in und aus diesen Netzwerken zu gewährleisten. Aufbau Für den Aufbau der Router-Redundanz werden ein SCALANCE M816 und ein SCALANCE M874-2 zu einer logischen Gruppe (VRID) zusammengefasst. Dabei wird das SCALANCE M816 zum Master-Router und das SCALANCE M874-2 zum Backup-Router. Nach außen erscheint die logische Gruppe als ein einziger virtueller Router. Die Station 1 (vlan1) ist über die Schnittstelle P1 und das Internet ist über die WAN- Schnittstelle (ppp0) der Geräte angebunden. Im Normalbetrieb wird der gesamte Datenverkehr wird über die WAN-Schnittstelle des Master-Routers abgewickelt. Wenn am Master-Router eine dieser Schnittstellen ausfällt, ist der Datenverkehr über den Master-Router nicht mehr möglich. Die Verbindung über die Schnittstellen P1 und ppp0 wird deshalb überwacht. Wenn sich am Master-Router der Status einer überwachten Schnittstelle von "up" nach "down" ändert, wird die Priorität des Master-Routers verringert. An den Backup-Router werden die virtuelle IP-Adresse und MAC-Adresse übertragen, der die Aufgaben des Master-Routers übernimmt. Ist die Verbindung über das SCALANCE M816 wieder möglich, wird die ursprüngliche Priorität des VRRP-Routers wieder hergestellt. Das SCALANCE M816 übernimmt wieder seine Rolle als Master-Router. Auf den Geräten ist standardmäßig die Firewall aktiviert. Damit die eingehenden VRRP- Pakete an das Gerät weitergeleitet werden, ist eine Firewall-Regel zu projektieren. Getting Started, 01/2019, C79000-G8900-C

10 Einleitung Verwendete Einstellungen Die Geräte erhalten für die Beispielkonfiguration die folgenden IP-Adresseinstellungen: VLAN / VRID Router-Status Gerätename Schnittstelle IP-Adresse vlan1 / 1 Master M816 P Backup M874 P Virtuelle IP-Adresse (Zugeordnete IP- Adresse) (VRID 1) 10 Getting Started, 01/2019, C79000-G8900-C543-01

11 Einleitung Mit dem PC konfigurieren Sie die Geräte über das Web Based Management. Dafür müssen Sie dem PC- Netzwerkadapter die IP-Adresse zuordnen. In den erweiterten TCP/IP- Einstellungen der Netzwerkkarten-Konfiguration haben Sie die Möglichkeit, weitere IP- Adressen hinzuzufügen. PC IP-Adresse Gateway PC VRID1:Virtuelle IP-Adresse : Hinweis Die in der Beispielkonfiguration verwendeten IP-Einstellungen sind frei gewählt. Im realen Netzverbund müssen Sie diese IP-Einstellungen der Netzwerkumgebung anpassen, um eventuelle Adresskonflikte zu vermeiden. Voraussetzung Das SCALANCE M87x/SCALANCE M81x ist mit dem WAN verbunden, siehe "SCALANCE M mit dem WAN verbinden". Das SCALANCE M87x/SCALANCE M81x ist über den Admin-PC erreichbar und Sie sind am WBM als "admin" angemeldet. Projektierungsschritte Zum Projektieren von VRRPV3 sind folgende Schritte auf beiden Geräten erforderlich 1. VRRPv3 konfigurieren 2. Firewall-Regel anlegen 3. VRRPv3 überprüfen Getting Started, 01/2019, C79000-G8900-C

12 Einleitung 12 Getting Started, 01/2019, C79000-G8900-C543-01

13 VRRPv3 konfigurieren VRRPv3-Router anlegen Vorgehensweise 1. Klicken Sie im Navigationsbereich auf "Layer 3" > "VRRPv3" und im Inhaltsbereich auf das Register "Router". 2. Aktivieren Sie die Einstellung "VRRPv3". Bestätigen Sie die Meldung mit OK. Im Kapitel "Firewallregel für VRRP anlegen (Seite 19)" wird das Vorgehen beschrieben. 3. Aktivieren Sie die Einstellung "VRID-Tracking". 4. Klicken Sie auf "Einstellungen übernehmen". 5. Wählen Sie bei "Schnittstelle" den Eintrag "vlan1" aus. 6. Tragen Sie bei "VRID" die 1 ein und klicken Sie auf "Erstellen". Ergebnis Auf den Geräten ist eine logische Gruppe angelegt. Getting Started, 01/2019, C79000-G8900-C

14 VRRPv3 konfigurieren 2.2 VRRPv3-Router konfigurieren 2.2 VRRPv3-Router konfigurieren In diesem Abschnitt werden die VRRPv3-Router konfiguriert. Dabei wird das M816 als Master-Router und das M874 als Backup-Router projektiert. Vorgehensweise 1. Klicken Sie im Navigationsbereich auf "Layer 3" > "VRRPv3" und im Inhaltsbereich auf das Register "Konfiguration". 2. Wählen Sie bei "Schnittstelle / VRID" den Eintrag "vlan1 / 1" aus. 3. Konfigurieren Sie den virtuellen Router VRID 1 mit folgenden Einstellungen: M816 M874 Schnittstelle / VRID vlan1 / 1 vlan1 / 1 Primäre Adresse Da auf diesem VLAN nur ein Subnetz konfiguriert, ist keine Angabe erforderlich. Der Eintrag ist dann Priorität Priorität verringern Klicken Sie auf "Einstellungen übernehmen". Ergebnis Die virtuellen Router sind angelegt. Die Projektierung ist auf beiden Geräten gleich. Übersicht der Konfiguration am M816: 14 Getting Started, 01/2019, C79000-G8900-C543-01

15 VRRPv3 konfigurieren 2.2 VRRPv3-Router konfigurieren Übersicht der Konfiguration am M874: Getting Started, 01/2019, C79000-G8900-C

16 VRRPv3 konfigurieren 2.3 Virtuelle IP-Adresse festlegen 2.3 Virtuelle IP-Adresse festlegen Damit die angeschlossenen Geräte den Wechsel nicht mitbekommen, wird eine virtuelle IP- Adresse vergeben. Diese virtuelle IP-Adresse wird bei den Geräten als Gateway-Adresse eingetragen. Vorgehensweise 1. Klicken Sie im Navigationsbereich auf "Layer 3" > "VRRPv3" und im Inhaltsbereich auf das Register "Adresskonfiguration". 2. Wählen Sie bei "Schnittstelle / VRID" den Eintrag "vlan1 / 1" aus. 3. Geben Sie bei "Zugeordnete IP-Adresse" die IP-Adresse " ". 4. Klicken Sie auf "Erstellen". 5. Klicken Sie auf "Einstellungen übernehmen". Ergebnis Die entsprechende virtuelle IP-Adresse ist festgelegt. 16 Getting Started, 01/2019, C79000-G8900-C543-01

17 VRRPv3 konfigurieren 2.4 Schnittstellenüberwachung konfigurieren 2.4 Schnittstellenüberwachung konfigurieren Die Schnittstellen P1 und ppp0 sollen überwacht werden. Vorgehensweise 1. Klicken Sie im Navigationsbereich auf "Layer 3" > "VRRPv3" und im Inhaltsbereich auf das Register "Schnittstellenüberwachung". 2. Wählen Sie bei "Schnittstelle" die Schnittstelle "P1" aus. 3. Geben Sie bei "Track-ID" die ID 1 ein. 4. Klicken Sie auf die Schaltfläche "Erstellen". 5. Wiederholen Sie für die Schnittstelle "ppp0" die Schritte 2 bis Wählen Sie bei "Track-ID" die "1" aus. 7. Geben Sie bei "Track-Schnittstellenzähler" die "1" ein und klicken Sie auf "Einstellungen übernehmen". Ergebnis Die Schnittstellen werden überwacht. Der "Track-Schnittstellenzähler" 1 bedeutet, dass wenn an einer Schnittstelle der Verbindung-Status von "up" nach "down" wechselt, wird die Priorität des zugeordneten VRRP-Routers verringert. Um welchen Wert die Priorität verringert wird, konfigurieren Sie auf der Seite "Layer 3 > VRRPv3 > Konfiguration". Wenn sich der Verbindung-Status wieder von "down" nach "up" ändert, wird die ursprüngliche Priorität wiederhergestellt Getting Started, 01/2019, C79000-G8900-C

18 VRRPv3 konfigurieren 2.4 Schnittstellenüberwachung konfigurieren 18 Getting Started, 01/2019, C79000-G8900-C543-01

19 Firewall-Regel für VRRPv3 anlegen 3 Damit die eingehenden VRRP-Pakete an das Gerät weitergeleitet werden, ist folgende Firewallregel zu konfigurieren. Vorgehensweise IP-Protokoll anlegen 1. Klicken Sie im Navigationsbereich auf "Layer 3 > Firewall" und im Inhaltsbereich auf das Register "IP-Protokoll". 2. Geben Sie bei "Protokollname" "VRRP" ein. 3. Klicken Sie auf "Einstellungen übernehmen". In der Tabelle wird ein neuer Eintrag erzeugt. 4. Geben Sie bei "Protokollnummer" "112" ein. 5. Klicken Sie auf "Einstellungen übernehmen". IP-Regeln anlegen 1. Klicken Sie im Navigationsbereich auf "Security > Firewall" und im Inhaltsbereich auf das Register "IP-Regeln". 2. Klicken Sie auf "Erstellen". In der Tabelle wird ein neuer Eintrag erstellt. 3. Konfigurieren Sie die Firewall-Regel für VRID1 mit folgenden Einstellungen: Aktion Accept Von vlan1 /1 Nach Gerät Quelle (Bereich) /0 (alle Adressen) Ziel (Bereich) /32 Dienst VRRP 4. Klicken Sie auf "Einstellungen übernehmen". 5. Klicken Sie auf "Erstellen". In der Tabelle wird ein neuer Eintrag erstellt. 6. Klicken Sie auf "Einstellungen übernehmen". Getting Started, 01/2019, C79000-G8900-C

20 Firewall-Regel für VRRPv3 anlegen Ergebnis Die IP-Regeln sind angelegt. 20 Getting Started, 01/2019, C79000-G8900-C543-01

21 VRRPv3 überprüfen 4 Vorgehensweise 1. Klicken Sie im Navigationsbereich auf "Layer 3" > "VRRPv3" und im Inhaltsbereich auf das Register "Router". Ergebnis Übersicht der Konfiguration am M816: Übersicht der Konfiguration am M874: Bei Master-Adresse wird IP-Adresse des M816 angezeigt. Getting Started, 01/2019, C79000-G8900-C

22 VRRPv3 überprüfen 22 Getting Started, 01/2019, C79000-G8900-C543-01