7nach5 in Bayern Fernwartung von Automatisierungsanlagen über Internet

Transkript

1 7nach5 in Bayern Fernwartung von Automatisierungsanlagen über Internet Niederlassung München Systemberatung Automatisierung

2 Fernwartung von Automatisierungssystemen über Internet Agenda 1. Grundlagen 2. Produkte 3. Lösungsvorschläge 4. Projektierung und Live-Demo Seite 2

3 Warum Fernwartung auf die Anlage? Weltweite Verteilung von Anlagen / Maschinen Schnelle Reaktion auf Störungen Vorbeugende Wartung Kurze Stillstandzeiten Kurze, einfache Inbetriebsetzung Minimierung der Reisekosten Minimierung der Wartezeiten Maschine X: HMI Fernwartungs GmbH & Co.KG Motion Control S7 PLC Proxy Öffentliches Netz Other fieldbuses Seite 3

4 Fernwartung über Telefon-Wählverbindungen PC mit S7-Teleservice -Software Teleservice-Adapter TS-Adapter II TS-Adapter IE HMI Gerät Modem Telefonnetz (analog oder ISDN) Ethernet MPI / PROFIBUS SIMATIC Controller Seite 4

5 Fernwartung über das Internet Remote Zugriff PC Internet Wide Area Network (WAN) Ethernet Local Area Network (LAN ) SIMATIC Controller SIMATIC HMI SIMATIC IPC SIMATIC NET Seite 5

6 Fernwartung über das Internet Grundlagen Seite 6

7 IP-Adressen Klasse A / B und Subnetzmaske Klasse A Netz Station Dezimale Darstellung Binäre Darstellung Subnetz-Maske Die Nullen der Subnetz-Maske bestimmen den Stations Anteil Adressbereich Klasse A: 1.xxx.xxx.xxx 126.xxx.xxx.xxx Klasse B Netz Station Dezimale Darstellung Binäre Darstellung Subnetz-Maske Adressbereich Klasse B: xxx.xxx xxx.xxx Seite 7

8 Grundlagen IP-Adressen Klasse C und Subnetzmaske / Private IP-Adressen Klasse C Netz Station Dezimale Darstellung Binäre Darstellung Subnetz-Maske Adressbereich Klasse C: xxx xxx Adressen für den privaten Gebrauch Klasse A - Netze: bis Klasse B - Netze: bis Klasse C - Netze: bis Diese Adressen werden von Routern nicht nach außen (Internet ) gegeben Seite 8

9 Grundlagen Routing mit TCP/IP Subnetz: Subnetzmaske: Router Subnetz: Subnetzmaske: Seite 9

10 Grundlagen Routing mit TCP/IP LAN Router LAN Router Robustheit LAN Für WAN ist die Verknüpfung von LAN PC-based mit Routern notwendig. Sie Controller übernehmen den Datentransport aus dem LAN heraus. Router sind an zwei Netzwerke angeschlossen und besitzen somit zwei IP- Adressen. Hosts und Router entscheiden über die Verschickung der Datagramme außerhalb des Netzwerkes mit Hilfe von Routing - Tabellen Offenheit Jeder Host kennt den Router und sendet ihm direkt das Datagramm, auch wenn die Adresse außerhalb des Subnetzes liegt. Seite 10

11 Grundlagen TCP/IP-Einstellungen für eine SIMATIC S7 PC-based Controller Offenheit Robustheit Seite 11

12 Grundlagen ICMP PING-Funktion Internet Control Message Protocol PC-based bietet die einfachste Diagnosemöglichkeit: Controller Durch den Aufruf der Funktion PING auf einem Teilnehmer am Netz kann die Kopplung über IP zu einem entfernten Rechner am Netzwerk geprüft werden: C:\>ping Pinging [ ] with 32 bytes of data: Reply from : bytes=32 time=20ms TTL=117 Reply from : bytes=32 time=20ms TTL=117 Reply from : bytes=32 time=21ms TTL=117 Reply from : bytes=32 time=21ms TTL=117 Ping statistics for : Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds: Robustheit Minimum = 20ms, Maximum = 21ms, Average = 20ms der Partner antwortet und die Reaktionszeit wird angezeigt Seite 12

13 DSL-Router: Network-Adress-Translation (NAT) PC-based Controller Internet Öffentliche IP-Adresse Robustheit DSL-Router Private IP-Adressen Offenheit Interne Teilnehmer sind von Aussen nicht erreichbar Seite 13

14 Portadressierung TCP-Port 80 Protokoll HTTP Anwendung Internetbrowser PC-based Controller TCP-Datenpaket IP-Adresse 25 SMTP 21 FTP Filetransfer über Ports werden die einzelnen Applikationen (und deren Protokolle) angesprochen well known ports (1-1024) sind bestimmten Protokollen fest zugeordnet: HTTP TCP-Port 80 HTTPS TCP-Port 443 SMTP TCP-Port 25 FTP TCP-Port 21 ISOonTCP (RFC1006) TCP-Port 102 (z.b. auch für STEP7) freie Ports für eigenen Applikationen bzw. Protokolle Welches Protokoll verwendet welchen TCP-Port? Seite 14

15 Port Forwarding (Portweiterleitung) Verbindungen aus dem Internet werden über frei wählbare Ports zu Teilnehmern innerhalb eines Netzwerkes weitergeleitet Port Forwarding muß im DSL-Router an der Anlage konfiguriert werden Öffentliche IP-Adresse Port Private IP-Adresse Port Anwendung Webserver PC Webserver S7 PC mit Internetzugang PC S7 Internet DSL-Router Anlage Privates IP Netzwerk DSL-Router PC S7 IP: Offenheit IP: Seite 15

16 Dynamische Domain Name Server (DynDNS) DynDNS-Server ( z.b. ) Info: IP-Adresse und Hostname Antwort: IP-Adresse des Hosts Frage: Wie lautet IP zum Hostnamen? Externes Netzwerk Lokale Applikation Internet Host z.b. Webserver DSL-Router Dynamische Öffentliche IP-Adresse DSL-Router Offenheit 7nach5router.dyndns.org Robustheit Bei einem Standard DSL-Anschluß wechselt die öffentliche IP-Adresse des DSL-Routers DynDNS muß im DSL-Router konfiguriert werden Seite 16

17 Mobile Kommunikation im Internet GPRS / EGPRS - Kommunikation mit Handy Webseite Mobile Request Response Port 80 INTERNET Web-Server Anforderungen: General Packet Radio Service (GPRS) ist die Bezeichnung für den paketorientieren Dienst zur Datenübertragung in GSM-Netzen Enhanced GPRS (EGPRS) verwendet die Technik Enhanced Data Rates for GSM Evolution (EDGE) zur Erhöhung der Datenübertragungsrate in GSM-Mobilfunknetzen Abrechnungen sind von den übertragenen Datenmengen abhängig und nicht von der Verbindungsdauer Seite 17

18 Mobilfunkrouter für GSM- Netze PC-based Controller APN (Access Point Name ) z.b web.vodafone.de internet.t-mobile.de Mobilfunkrouter EPPRS enthält SIM-Card des Providers Robustheit APN muß konfiguriert werden Offenheit Dynamische IP-Adresse vom Provider Seite 18

19 Erreichbarkeit im GPRS / EDGE - Netz Das GPRS / EDGE/ UMTS -Netz ermöglicht folgende Verbindungen. GPRS Network PLC Mobile INTERNET PLC Mobile Verbindungsaufbau möglich Verbindungsaufbau NICHT möglich Provider Firewall Eine Firewall beim Mobilfunkprovider erlaubt keinen Zugriff auf Mobilfunkgeräte von extern! Offenheit Mobile Mobile Verbindungen sind nicht ohne weiteres möglich! Lösung: VPN Virtual Private Network Seite 19

20 Was ist VPN ( Virtuelles Privates Netz )? Internet IPSec beinhaltet: Authentifizierung Vertraulichkeit Protokolle: (Zertifikate) Integrität PPTP Robustheit sicherer Authentifizierung Schlüsselaustausch OpenVPN Ver- und Entschlüsselung IPSec Offenheit Seite 20

21 Was ist eine Firewall? Offenheit Seite 21

22 Fernwartung über das Internet Produkte Seite 22

23 SIMATIC NET Produkte für Security PC / Notebook mit Software SOFTNET Security Client PC / Notebook mit Software SOFTNET Security Client Security Modul SCALANCE S Security Modul SCALANCE S Security Modul SCALANCE S Seite 23

24 SIMATIC NET Produkte für Security SCALANCE S602 zum Schutz von Automatisierungsnetzen durch Firewall SCALANCE S612 SCALANCE S613 SCALANCE S612 und S613 zum Schutz von Automatisierungsnetzen duch Firewall und VPN SOFTNET Security Client VPN Software zum Aufbau von sicheren Verbindungen zwischen Offenheit PCs oder Notebooks und von SCALANCE S geschützten Geräten Für die Sicherheit Ihrer Netze und Daten. Seite 24

25 Security-Module SCALANCE S602 Schützt internes Netz mit Stateful Packet Inspection Firewall Filtert sowohl IP-basierten als auch MAC-basierten Datenverkehr im Router-Modus betreibbar und damit auch direkt an IP-Subnetzgrenzen einsetzbar NAT bzw. NAPT (Network Address and Port Translation) integrierten DHCP-Server Log-Dateien können mittels Syslog Server ausgewertet werden Einfache und schnelle Konfiguration der Firewall durch globale Firewallregeln und symbolische Namen für IP-Adressen Kann ohne Mengengerüst-Einschränkung Netzwerke schützen Security Configuration Tool zur einfachen Konfiguration von SCALANCE S wird mitgeliefert Offenheit Seite 25

26 Security-Module SCALANCE S612 / S613 Zusätzlich zu SCALANCE S602: Schützt internes Netz mit VPN-Tunnel (Virtual Private Network) durch IPSec Tunneling und / oder Stateful Packet Inspection Firewall S612: 64 VPN-Tunnel zu anderen Security-Modulen 32 Geräte im internen Netz S613: 128 VPN-Tunnel zu anderen Security-Modulen 64 Geräte im internen Netz Sicherung des IP-basierten und Layer-2 Datenverkehrs Security Configuration Tool zur einfachen Konfiguration von VPN Offenheit Seite 26

27 VPN-Client - Software SOFTNET Security Client VPN-Client für PCs und Notebooks im industriellen Umfeld ermöglicht VPN-Zugriff (nach IPSec) auf durch SCALANCE S geschützte Automatisierungssysteme Schutz der Datenübertragung vor Fehlbedienung, Mithören/Spionage sowie Manipulation Durchgängiges Sicherheitskonzept für die Automatisierungstechnik mit SCALANCE S und SOFTNET Security Client Security Configuration Tool zur einfachen Konfiguration von VPN mit SCALANCE S und SOFTNET Security Client Offenheit Seite 27

28 Mobilfunk EGPRS-Router (Enhanced GPRS) MD741-1 Ablösung des GPRS-Routers MD Schnellere Datenübertragung durch EDGE 4 5 mal schneller als GPRS ca. 60 % der UMTS-Geschwindigkeit Weltweit nahezu flächendeckend verfügbar Web-Based Configuration VPN-Client (IPSec) mit SCALANCE S als VPN-Server Anwendungen Fernprogrammierung und Diagnose Schnelle Programmdownloads zur SPS HMI Diagnose, Bildübertragung Offenheit Seite 28

29 Fernwartung über das Internet Lösungsvorschläge mit VPN Seite 29

30 Fernwartung über VPN Softnet Security Client und SCALANCE S Internet Konfiguration Portweiterleitung für IPSec Öffentliche IP Port Interne IP Port öffentliche dynamische IP-Adresse öffentliche feste IP-Adresse: interne IP-Adresse: IP-Adresse automatisch vom DSL-Router zugewiesen Standard DSL-Router Standard DSL-Router externe IP-Adresse: STEP7 Default Router: interne IP-Adresse: PC Softnet Security Client ( VPN-Client ) VPN-Tunnel mit IPSec SCALANCE S612 / S613 ( VPN Server ) IP-Adresse: Default Router: SIMATIC S interne IP-Adresse: Seite 30

31 Fernwartung über VPN SCALANCE S und SCALANCE S Internet Konfiguration Portweiterleitung für IPSec Öffentliche IP Port Interne IP Port öffentliche dynamische IP-Adresse interne IP-Adresse: öffentliche feste IP-Adresse: interne IP-Adresse: Standard DSL-Router externe IP-Adresse: Default Router: interne IP-Adresse: Standard DSL-Router externe IP-Adresse: Default Router: interne IP-Adresse: SCALANCE S612 / S613 ( VPN Client ) VPN-Tunnel mit IPSec SCALANCE S612 / S613 ( VPN Server ) PC STEP7 IP-Adresse: Default Router: IP-Adresse: Default Router: SIMATIC S Seite 31

32 Fernwartung über VPN Mobilfunkrouter MD741-1 und SCALANCE S Internet öffentliche IP-Adresse ( fest oder DynDNS ) GPRS / EDGE interne IP-Adresse: externe IP-Adresse: Default Router: interne IP-Adresse: Standard DSL-Router öffentliche dyn. IP-Adresse vom Mobilfunkprovider interne IP-Adresse: SCALANCE S612 / S613 ( VPN Server ) VPN-Tunnel mit IPSec MD741-1 ( VPN Client ) PC STEP7 IP-Adresse: Default Router: IP-Adresse: Default Router: SIMATIC S Seite 32

33 Fernwartung von PCs mit VPN-Verbindung von Windows XP Prof. öffentliche dynamische IP-Adresse Internet öffentliche dynamische IP-Adresse DynDNS Portweiterleitung: GRE-Protokoll und Port 1723 Standard DSL-Router Standard DSL-Router Ausgehende VPN-Verbindung ( VPN-Client ) VPN-Tunnel mit PPTP ( Point To Point Tunneling Protokoll ) Eingehende VPN-Verbindung ( VPN Server ) Offenheit Anleitung siehe IP-Adresse Default Gateway: Seite 33

34 Fernwartung über das Internet Projektierung und Live-Demo Seite 34

35 Live-Demo 1: VPN-Tunnel zwischen Softnet-Security-Client und Security Modul S612 Demoaufbau in NL München öffentliche feste IP-Adresse ( T-DSL Business ) Standard DSL-Router interne IP-Adresse Internet Security Modul S612 externe IP-Adresse: interne IP-Adresse: VPN-Tunnel mit IPSec Softnet Security Client Field PG Industrial Ethernet Switch SCALANCE X204-2 IP-Adresse: USB-Stick mit SIM-Card von Vodafone UMTS / EDGE / GPRS S CP343-1Lean ET200S PN CPU OP177PNDP Microbox PC427B WinAC RTX öffentliche dynamische IP-Adresse von Vodafone zugewiesen APN: web.vodafone.de Seite 35

36 Live-Demo 2: VPN-Tunnel zwischen EGPRS-Router MD741-1 und Security Modul S612 Demoaufbau in NL München öffentliche feste IP-Adresse ( T-DSL Business ) (auch DynDNS möglich) Standard DSL-Router interne IP-Adresse Internet Security Modul S612 Industrial Ethernet Switch SCALANCE X204-2 externe IP-Adresse: interne IP-Adresse: IP-Adresse: VPN-Tunnel mit IPSec EGPRS-Router MD741-1 mit SIM-Card von Vodafone öffentliche dynamische IP-Adresse wird zugewiesen APN: web.vodafone.de Interne IP-Adresse: Field PG S CP343-1Lean ET200S PN CPU OP177PNDP Microbox PC427B WinAC RTX IP-Adresse: Default Router: Seite 36

37 Live-Demo 3: WinCCflexible über DynDNS und Port Forwarding Demoaufbau Zuhause öffentliche IP-Adresse: nach5router.dyndns.org Konfiguration Portweiterleitung Öffentliche IP Port Interne IP X.X.X.X IP-Adresse: Port interne IP-Adresse: Internet Field PG Microbox PC427B WinCCflexible RT mit Option USB-Stick mit SIM-Card von Vodafone UMTS / EDGE / GPRS öffentliche dynamische IP-Adresse von Vodafone zugewiesen APN: web.vodafone.de Seite 37

38 Live-Demo 4: IP-Kamera über DynDNS und Port-Forwarding Demoaufbau Zuhause öffentliche IP-Adresse: nach5router.dyndns.org interne IP-Adresse: Internet Konfiguration Portweiterleitung Öffentliche IP Port Interne IP X.X.X.X Port Field PG Kamera IP-Adresse: USB-Stick mit SIM-Card von Vodafone UMTS / EDGE / GPRS öffentliche dynamische IP-Adresse von Vodafone zugewiesen APN: web.vodafone.de Seite 38

39 Live-Demo 5: Virtual Network Computing ( VNC ) über DynDNS und Port Forwarding Demoaufbau Zuhause öffentliche IP-Adresse: Konfiguration Portweiterleitung 7nach5router.dyndns.org Öffentliche IP X.X.X.X Port Interne IP Port interne IP-Adresse: Internet 7nach5router.dyndns.org:5901 IP-Adresse: Microbox PC427B mit Soft-SPS WinAC RTX2008 VNC-Server Virtual Network Computing VNC Field PG VNC-Viewer USB-Stick mit SIM-Card von Vodafone UMTS / EDGE / GPRS öffentliche dynamische IP-Adresse von Vodafone zugewiesen APN: web.vodafone.de Seite 39

40 Live-Demo 6: VPN mit Windows XP Demoaufbau Zuhause öffentliche IP-Adresse: nach5router.dyndns.org Konfiguration Portweiterleitung interne IP-Adresse: Internet Öffentliche IP Port Interne IP Port X.X.X.X GRE Point To Point Tunneling Protokoll Field PG IP-Adresse: VPN-Tunnel mit PPTP Eingehend Ausgehend Microbox PC427B mit Soft-SPS WinAC RTX2008 Remotedesktopverbindung oder VNC USB-Stick mit SIM-Card von Vodafone UMTS / EDGE / GPRS öffentliche dynamische IP-Adresse von Vodafone zugewiesen APN: web.vodafone.de Seite 40

42 Effiziente und sichere Fernwartung über die Siemens Remote Service Plattform Service Zentrale Service Partner Kunde Servicetechniker Europa Servicetechniker Amerika Externer Spezialist Kundentechniker Zentrale Authentifizierung & Autorisierung Kollaboration Siemens Remote Service Platform Zentrale Datenhaltung Auswertungen, Reports Benachrichtigungen Logging, Zugriffsaufzeichnung Services Reaktiver Service (Fehleranalyse, ) Zustandsabhängige Wartung (Zustandsüberwachung, ) Geplante Wartung (Update Services, ) DSL/Internet, Modem, Router, GSM, GPRS, EDGE, UMTS, HSDPA, Satellit, etc. Applikationen/Protokolle Eine Plattform für verschiedenste Applikationen und Protokolle http/https, Netmeeting, RDP, eps, PC-Anywhere, NetOp, BANY sys, HP System Management, VSS Video Collaboration, Profinet, etc. Seite 42 Copyright Siemens AG All Rights Reserved.

43 Siemens Remote Service Plattform Unterstützung von IT-Tools und Anwendungen (Beispiele) Serviceangebote Vorausschauende Instandhaltung, z.b. Zustandsüberwachung Vorbeugende Wartung, z.b. Update Service Verbessernde Instandhaltung, z.b. Fehleranalyse IT-Tools / Applicationen RDP MS- Terminal Server Net- Meeting pc- Anywhere NetOp http/https WinVnc eps (electronic Production Services) HP System Management Profinet VSS BANY Video sys Collaboration Verbindung und Sicherheit Alle Protokolle laufen durch den VPN-Tunnel Applikationen / Serviceagenten auf den Systemen Kundenanlage Seite 43 Copyright Siemens AG All Rights Reserved.

44 Remote Services mit Common Remote Service Platform PC, crsp Access Server Fertigungsleitrechner mit Software SOFTNET Kundenanlage MES-Ebene Security Client Server PC Switch SCALANCE X-400 crsp Router Scalance S als crsp IPsec Endpunkt PC mit Software SOFTNET Security Client Office-Netz Switch SCALANCE X-414-3E PC Security Module SCALANCE S Server PROFINET Industrial Ethernet PROFINET Industrial Ethernet Automatisierungsnetz Bedienen & Beobachten Security Module SCALANCE S Automatisierungszelle Security Module SCALANCE S Security Module SCALANCE S Panel PC Roboter Zellen Roboter Zelle Seite 44 PROFIBUS oder doch schon PROFINET? -Teil 2 IT Was nun? GER I IA&DT OST

45 Siemens Remote Services Kundenvorteile Siemens Remote Services garantieren höchste Verfügbarkeit Ihrer Systeme Kürzere Reaktionszeit und Steigerung der Verfügbarkeit Weltweit verfügbare Experten (immer und überall) Neue Services wie z.b. Remote Updates und -Wartung Kontinuierliche Überwachung und Berichterstattung Senkung der Servicekosten Siemens bietet auf der Basis der Siemens Remote Service Plattform unterschiedliche Dienstleistungen und Services für Produkte und Projekte Seite 45 Copyright Siemens AG All Rights Reserved.

46 Neue Telefonnummern für die zentralen Services in Deutschland für I IA&DT Bitte nutzen Sie ab sofort folgende Telefonnummern für den Kontakt zu den zentralen Services in Deutschland: Services Technical Support Field Service Spare Parts / Repair Telefon +49 (0) (0) (0) Fax +49 (0) (0) (0) Die bisherigen Nummer wird demnächst abgeschaltet Alternativ kann der Online-Zugang Support Request genutzt werden: Seite 46

47 Vielen Dank!