Mitglied der: KNX Association OPC Foundation BACnet Interest Group Europe. Dokumentversion: 1.0.2

Transkript

1 Mitglied der: KNX Association OPC Foundation BACnet Interest Group Europe Dokumentversion: 1.0.2

2 Inhaltsverzeichnis 1. System Überblick 4 2. Windows Firewall Konfiguration Erlauben von DCOM Kommunikation von anderen Computern Erzeugen einer Regel für OPC enum Erzeugen einer Regel für den NETx Server Erzeugen einer Regel für den OPC Client Ändern der lokalen Sicherheitsrichtlinien 9 4. Benutzereinstellungen Beide Maschine sind Mitglied der selben Windows Domäne Beide Maschine sind Mitglied von verschiedenen Windows Domänen Beide Maschine sind nicht Mitglied einer Windows Domäne DCOM Konfiguration DCOM Konfiguration auf der NETx Server Seite Konfigurieren der standard DCOM Einstellungen Konfigurieren DCOM Einstellungen des OPC enum Prozesses Konfigurieren der DCOM Einstellungen des NETx Servers DCOM Konfiguration auf der OPC Client Seite A. Appendix 16 A.1. Support und Kontakt NETx DCOM Einstellungsdokumentation Seite 2 von 16

3 Copyright Diese Veröffentlichung bezieht sich auf NETx DCOM Einstellungsdokumentation 1.0. Dies wird herausgegeben von NETxAutomation Software GmbH, Maria Theresia Straße 41, Top 10, 4600 Wels, Österreich. Copyright by NETxAutomation Software GmbH, Gewährleistung für die Richtigkeit, Anwendbarkeit und Brauchbarkeit dieser Dokumentation kann nur im Rahmen der Bestimmungen des Software Überlassungsvertrages übernommen werden. Änderungen am Funktionsumfang der beschriebenen Software sind jederzeit vorbehalten und müssen keine Änderungen der diesbezüglichen Dokumentation nach sich ziehen. Alle Rechte vorbehalten. Vervielfältigungen, Übersetzungen, Mikroverfilmungen sowie die Einspeicherung und Verarbeitung in elektronischen Systemen sind urheberrechtlich geschützt. Nachdruck nur mit schriftlicher Genehmigung von NETxAutomation Software GmbH. NETx DCOM Einstellungsdokumentation Seite 3 von 16

4 1. System Überblick Um eine OPC DA 2.05a Kommunikation zwischen einem OPC Server und ein oder mehreren OPC Clients zu ermöglichen, sind verschiedene Konfigurationsschritte notwendig. Dies inkludiert eine Änderung der Windows Firewalleinstellungen als auch eine Konfiguration von Windows DCOM und deren Sicherheitsrichtlinien. Dieses Dokument soll als ein Tutorial für die Konfiguration einer entfernten OPC DA 2.05a Verbindung dienen.! Die Konfiguration von Windows DCOM kann komplex und zeitaufwendig sein. Zusätzlich ist eine OPC DA Kommunikation nicht immer möglich beispielsweise wenn der OPC Server und die OPC Clients sich nicht im selben LAN befinden. Daher bietet NETxAutomation Software GmbH eine Lösung namens NETx Tunneller an. Der NETx Tunneller ist ein Softwaretool, welches OPC Kommunikation durch eine VNET Verbindung tunnelt. VNET basiert auf einer TCP/IP Verbindung. Daher ist eine zeitaufwendige Windows DCOM Konfiguration nicht mehr notwendig. Mehr Informationen über den NETx Tunneller sind auf der Webseite von NETxAutomation Software GmbH zu finden ( Dieses Dokument zeigt die notwendigen Konfigurationsschritte für das Aufsetzen einer entfernten OPC DA 2.05a Verbindung. Innerhalb des Dokuments wird angenommen, dass der OPC Server entweder ein NETx BMS Server oder ein NETx KNX OPC Server ist. Im restlichen Teil des Dokuments wird ein OPC Server kurz als NETx Server bezeichnet. Der entfernte OPC Client, welcher sich zum NETx Server verbinden soll, kann ein OPC DA 2.05a Client von einem beliebigen Hersteller sein. Im restlichen Teil dieses Dokuments wird ein entfernter OPC DA 2.05a Client kurz als OPC Client bezeichnet.! Als OPC Client kann auch ein Client der OPC DA 3.0 unterstützt verwendet werden, da diese Clients zu OPC DA 2.05a abwärtskompatibel sind. Zusätzlich wird angenommen, dass der NETx Server und der OPC Client auf einem der folgenden Betriebssystemen läuft: Windows 7 Windows 8 Windows 8.1 Windows Server 2008 R2 Windows Server 2012 Windows Server 2012 R2 Es ist zu beachten, dass andere Windows Versionen ebenfalls funktionieren können. Es wird allerdings nicht garantiert, dass die in diesem Dokument beschriebenen Konfigurationsschritte auf den nicht unterstützen Betriebssystemen ausreichend sind.!achtung: Es ist ebenfalls zu beachten, dass dieses Dokument nur als Beispiel für das Bereitstellen einer OPC Verbindung dienen soll. Es wird nicht garantiert, dass dieses Dokument vollständig ist und dass die beschriebenen Konfigurationsschritte den Sicherheitsanforderungen der IT Infrastruktur genügen. Änderungen in den Konfigurationseinstellungen können eine ungenügende Sicherheit zur Folge haben. Daher müssen alle Änderungen durch den lokalen System- oder Sicherheitsadministrator begutachtet und abgenommen werden. Um eine OPC Kommunikation zwischen einem OPC Server und ein oder mehreren OPC Clients zu ermöglichen, sind folgende Schritte notwendig: Konfigurieren der Windows Firewall (vgl. Kapitel 2). Änderung der lokalen Sicherheitsrichtlinien (vgl. Kapitel 3). Anlegen eines Benutzers (vgl. Kapitel 4). Konfigurieren von Windows DCOM (vgl. Kapitel 5). NETx DCOM Einstellungsdokumentation Seite 4 von 16

5 2. Windows Firewall Konfiguration Um eine OPC Kommunikation zu ermöglichen, muss die Windows Firewall entsprechend konfiguriert werden. Dieser Abschnitt beschreibt die notwendigen Schritte, die durchgeführt werden müssen Erlauben von DCOM Kommunikation von anderen Computern!Achtung: Diese Schritte müssen auf beiden Seiten durchgeführt werden auf der OPC Server- und auf der OPC Clientseite. Standardmäßig blockiert Windows eingehende DCOM Verbindungen von anderen Computern. Daher müssen folgende Schritte durchgeführt werden: Zuerst muss der Windows Firewall Konfigurationsdialog ( Systemsteuerung > System und Sicherheit > Windows Firewall ) geöffnet und Erweiterte Einstellungen auf der linken Seite im Dialog selektiert werden. Der folgende Dialog erscheint (vgl. Abbildung 2.1). Abbildung 2.1.: Windows Firewall Konfiguration Als Nächstes muss im linken Bereich des Dialogs Eingehende Regeln ausgewählt werden. Anschließend müssen alle Regeln mit dem Namen Windows-Verwaltungsinstrumentation (DCOM eingehend) in der Liste ausgewählt und aktiviert werden (vgl. Abbildung 2.2). Abbildung 2.2.: Aktivieren von Windows Management Instrumentation (DCOM-In)! Abhängig vom Betriebssystem und von der Konfiguration können ein oder mehrere DCOM-In Regeln vorhanden sein. Falls keine Regeln vorhanden sind, müssen zwei eingehende Regeln, die den TCP Port 135 und den UDP Port 135 erlauben, erzeugt werden. NETx DCOM Einstellungsdokumentation Seite 5 von 16

6 2.2. Erzeugen einer Regel für OPC enum!achtung: Diese Schritte müssen nur auf der OPC Serverseite durchgeführt werden. Als Nächstes muss eine eingehende Regel für den OPC Enum Prozess hinzugefügt werden. Im linken, oberen Bereich des Dialogs muss Eingehende Regeln selektiert werden. Anschließend ist im rechten, oberen Bereich Neue Regel... auszuwählen. Im Dialog muss Programm als Regeltyp selektiert werden (vgl. Abbildung 2.3). Abbildung 2.3.: New firewall rule Im nächsten Schritt muss die ausführbare Datei des OPC Enum Prozesses ausgewählt werden (vgl. Abbildung 2.4). Diese befindet sich unter: 32 Bit Betriebssystem: C:\Windows\System32\OpcEnum.exe 64 Bit Betriebssystem: C:\Windows\SysWOW64\OpcEnum.exe Abbildung 2.4.: Auswählen des Programms Als Nächstes muss Verbindung zulassen gewählt werden (vgl. Abbildung 2.5). NETx DCOM Einstellungsdokumentation Seite 6 von 16

7 Abbildung 2.5.: Verbindung zulassen Danach muss das Netzwerkprofil, für welches die Regel aktiv sein soll, selektiert werden (vgl. Abbildung 2.6). Abbildung 2.6.: Netzwerkprofil auswählen Im letzten Schritt muss ein Name für die Regel (z.b. OPC enum ) festgelegt werden (vgl. Abbildung 2.7). Abbildung 2.7.: Regelnamen spezifizieren Nachdem der letzte Schritt bestätigt wurde, wird eine neue Regel erzeugt und umgehend aktiviert Erzeugen einer Regel für den NETx Server!Achtung: Diese Schritte müssen nur auf der OPC Serverseite durchgeführt werden. Es ist notwendig, eine eingehende Kommunikation mit dem NETx Server zu erlauben. Das Setup des NETx Servers erzeugt eine entsprechende Firewallregel automatisch. Für den NETx BMS Server ist der Name dieser Regel NETx BMS Server für den NETx KNX OPC Server NETx KNX OPC Server. Falls die entsprechende Regel nicht gelistet ist, muss eine neue erzeugt werden. Dazu sind die selben Schritte wie in Abschnitt 2.2 notwendig. In Abbildung 2.4 ist die ausführbare Datei des NETx Servers zu spezifizieren. Falls das Standardinstallationsverzeichnis gewählt wurde, befindet sich die ausführbare Datei hier: NETx BMS Server: - 32 Bit Betriebssystem: C:\Program Files\NETxAutomation\NETx.BMS.Server.2.0 NETx DCOM Einstellungsdokumentation Seite 7 von 16

8 - 64 Bit Betriebssystem: C:\Program Files (x86)\netxautomation\netx.bms.server.2.0 NETx KNX OPC Server: - 32 Bit Betriebssystem: C:\Program Files\NETxAutomation\NETxKNX.OPC.3.5.UD - 64 Bit Betriebssystem: C:\Program Files (x86)\netxautomation\netxknx.opc.3.5.ud! Die Regel, die automatisch durch das Setup hinzugefügt wird, ist nur für die Netzwerkprofile Privat und Domäne aktiviert. Wenn das verbundene Netzwerk als Öffentlich definiert wurde, muss die Regel entsprechend angepasst werden Erzeugen einer Regel für den OPC Client!Achtung: Diese Schritte müssen nur auf der OPC Clientseite durchgeführt werden. Zusätzlich muss die Kommunikation zum OPC Client erlaubt werden. Für das Erstellen einer entsprechenden Firewallregel müssen die selben Schritte wie in Abschnitt 2.2 durchgeführt werden. In Abbildung 2.4 ist die ausführbare Datei des OPC Clients zu wählen. NETx DCOM Einstellungsdokumentation Seite 8 von 16

9 3. Ändern der lokalen Sicherheitsrichtlinien!Achtung: Diese Schritte müssen auf beiden Seiten durchgeführt werden auf der OPC Server- und auf der OPC Clientseite. Um eine OPC Kommunikation zu erlauben, müssen die lokalen Sicherheitsrichtlinien geändert werden. Dazu muss der entsprechende Konfigurationsdialog ( Systemsteuerung > System und Sicherheit > Verwaltung > Lokale Sicherheitsrichtlinien ) geöffnet werden. Innerhalb des Dialogs muss die Option Netzwerkzugriff: Die Verwendung von Jeder Berechtigungen für anonyme Benutzer ermöglichen innerhalb des Menüeintrages Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen aktiviert werden (vgl. Abbildung 3.1). Abbildung 3.1.: Lokale Sicherheitsrichtlinien NETx DCOM Einstellungsdokumentation Seite 9 von 16

10 4. Benutzereinstellungen Um eine OPC Verbindung zwischen einem NETx Server und einem OPC Client herzustellen, muss die Benutzerverwaltung entsprechend angepasst werden. Generell ist es notwendig, dass beide PCs zumindest einen gemeinsamen Windows Benutzer besitzen. Dieser Windows Benutzer muss den selben Benutzername und Passwort verwenden und auf beiden Seiten lokale Administratorrechte besitzen. Der NETx Server Prozess muss nicht unter dem gemeinsamen Benutzer laufen. Er kann unter dem Benutzer SYSTEM (standardmäßig bei einem NETx Server) oder einem anderen Benutzer mit lokalen Administratorrechten laufen. Der OPC Client hingegen muss unter dem gemeinsamen Benutzer gestartet werden ansonsten schlägt die OPC Kommunikation fehl. Abhängig von der Umgebung sind folgende Konfigurationsschritte notwendig: 4.1. Beide Maschine sind Mitglied der selben Windows Domäne Da beide Maschinen Mitglied der selben Domäne sind, verwenden diese die gleiche Benutzerdatenbank. Daher kann jeder Domänenbenutzer als gemeinsamer Benutzer verwendet werden. Allerdings muss der gemeinsame Benutzer lokale Administratorrechte auf beiden Maschinen besitzen. Um lokale Administratorrechte zu vergeben, muss der Dialog Computerverwaltung ( Systemsteuerung > System und Sicherheit > Verwaltung ) geöffnet der Menüeintrag Computerverwaltung > System > Lokale Benutzer und Gruppen > Gruppen selektiert werden. Nach Doppelklick auf Administratoren muss der gemeinsame Benutzer zur lokalen Administratorgruppe hinzugefügt werden. Abbildung 4.1 zeigt den Konfigurationsdialog. Abbildung 4.1.: Administratorrechte hinzufügen 4.2. Beide Maschine sind Mitglied von verschiedenen Windows Domänen Wenn beide Maschinen Mitglied verschiedener Domänen sind, muss Vertrauen zwischen den beiden Domänencontroller erstellt werden. Dies bedeutet, dass den Benutzern der Domäne A von Domäne B vertraut wird und umgekehrt. Mehr Informationen über die Konfiguration von Vertrauen zwischen Domänen kann in der Microsoft Windows Server Dokumentation entnommen werden. NETx DCOM Einstellungsdokumentation Seite 10 von 16

11 Zusätzlich muss dem gemeinsamen Benutzer lokale Administratorrechte auf beiden Maschinen besitzen. Die notwendigen Schritte sind in Abschnitt 4.1 und in Abbildung 4.1 erklärt Beide Maschine sind nicht Mitglied einer Windows Domäne Wenn beide Maschinen nicht Mitglied einer Windows Domäne sind, muss ein gemeinsamer Benutzer auf beiden Maschinen angelegt werden. Dieser Benutzer muss exakt den gleichen Benutzernamen und das gleiche Passwort auf beiden Maschinen haben. Zusätzlich muss der Benutzer auf beiden Maschinen Administratorrechte besitzen. NETx DCOM Einstellungsdokumentation Seite 11 von 16

12 5. DCOM Konfiguration Um eine OPC Kommunikation zu ermöglichen, muss die Windows DCOM Konfiguration entsprechend angepasst werden. Dieser Abschnitt beschreibt die notwendigen Schritte, die durchgeführt werden müssen. Um die DCOM Konfiguration zu ändern muss der DCOM Konfigurationsmanager geöffnet werden. Dies kann durch Eingabe von dcomcnfg in der Windows Suchfunktionen erfolgen oder durch direktes Starten der ausführbaren Datei. Die ausführbare Datei befindet sich unter: C:\Windows\System32\dcomcnfg.exe 5.1. DCOM Konfiguration auf der NETx Server Seite Die DCOM Konfiguration auf der NETx Server Seite besteht aus drei Schritten: Konfigurieren der Standard DCOM Einstellungen (vgl. Abschnitt 5.1.1) Konfigurieren der DCOM Einstellungen des OPC enum Prozesses (vgl. Abschnitt 5.1.2) Konfigurieren der DCOM Einstellungen des NETx Servers (vgl. Abschnitt 5.1.3) Konfigurieren der standard DCOM Einstellungen Als nächstes müssen die standardmäßigen DCOM Einstellungen geändert werden. Innerhalb des DCOM Konfigurationsdialogs muss mittels Rechtsklick auf Arbeitsplatz der Menüeintrag Eigenschaften gewählt werden. Innerhalb des Tabs Standardeigenschaften muss als Authentifizierungsebene Keine selektiert werden. Abbildung 5.1 zeigt den entsprechenden Dialog. Abbildung 5.1.: Authentifizierungsebene Als nächstes müssen die Limits der DCOM Sicherheitseinstellungen geändert werden. Innerhalb des DCOM Konfigurationsdialogs muss auf den Tab COM-Sicherheit gewechselt werden. Abbildung 5.2 zeigt den Dialog. Abbildung 5.2.: Limits bearbeiten NETx DCOM Einstellungsdokumentation Seite 12 von 16

13 Innerhalb des Zugriffsberechtigungen muss der Button Limits bearbeiten ausgewählt werden. Als nächsten sind die Berechtigungen für Jeder und ANONYMOUS ANMELDUNG entsprechend der Abbildung 5.3 zu ändern. (a) Jeder (b) ANONYMOUS ANMELDUNG Abbildung 5.3.: Zugriffsberechtigungen Nach dem Schließen des Dialogs muss der Button Limits bearbeiten innerhalb der Start- und Aktivierungsberechtigungen betätigt werden. Die Berechtigungen für Jeder und Administratoren sind entsprechend Abbildung 5.4 zu ändern. (a) Jeder (b) Administratoren Abbildung 5.4.: Start- und Aktivierungsberechtigungen Danach müssen die Änderungen mittels OK Button bestätigt werden. NETx DCOM Einstellungsdokumentation Seite 13 von 16

14 Konfigurieren DCOM Einstellungen des OPC enum Prozesses Als nächstes müssen die DCOM Sicherheitseinstellungen des OPC enum Prozesses geändert werden. Innerhalb des DCOM Konfigurationsdialogs muss der Eintrag OPCEnum im Baum DCOM-Konfiguration ausfindig gemacht werden. Nach Rechtsklick auf den Eintrag und Auswahl von Eigenschaften muss das Tab Allgemein gewählt werden. Innerhalb des Tabs muss als Authentifizierungsebene Keine selektiert werden. Abbildung 5.5 zeigt den entsprechenden Dialog. Abbildung 5.5.: Authentifizierungsebene Danach muss in den Tab Sicherheit gewechselt werden. Innerhalb der Start- und Aktivierungsberechtigungen ist Anpassen zu wählen und der Button Bearbeiten ist zu betätigen. Die Berechtigungen von Jeder und Administratoren müssen entsprechend Abbildung 5.6 geändert werden. (a) Jeder (b) Administratoren Abbildung 5.6.: Start- und Aktivierungsberechtigungen NETx DCOM Einstellungsdokumentation Seite 14 von 16

15 Der Dialog kann nun geschlossen werden. Innerhalb von Zugriffsberechtigungen muss Anpassen gewählt und der Button Bearbeiten betätigt werden. Die Berechtigungen für Jeder sind entsprechend Abbildung 5.7(a) zu ändern. Danach ist der Dialog zu schließen. Innerhalb Konfigurationsberechtigung ist ebenfalls Anpassen zu wählen und der Button Bearbeiten zu betätigen. Die Berechtigungen von Administratoren sind entsprechend Abbildung 5.7(b) zu ändern. (a) Zugriffsberechtigungen (b) Konfigurationsberechtigung Abbildung 5.7.: OPC Enum Berechtigungen Die DCOM Konfiguration des OPC Enum Prozesses ist nun abgeschlossen und der Dialog kann wieder geschlossen werden Konfigurieren der DCOM Einstellungen des NETx Servers Normaleweise ist eine Änderung der DCOM Konfiguration für den NETx Server nicht notwendig, da die DCOM Einstellungen automatisch während der Installation des NETx Server erzeugt werden. Wenn allerdings die OPC Verbindung zwischen dem OPC Client und dem NETx Server nicht funktioniert, wird empfohlen die DCOM Einstellungen zu prüfen. Die notwendigen DCOM Konfiguration eines NETx Servers sind ident mit den Einstellungen des OPC Enum Prozesses. Um diese zu prüfen, muss der Baum DCOM-Konfiguration innerhalb des DCOM Einstellungen Dialogs geöffnet und der Eintrag des NETx Servers gesucht werden. Abhängig vom Typ des Server, besitzt der Eintrag folgenden Namen: NETx BMS Server: nxavoyagerserver20 NETx KNX OPC Server: NETxOPC Nachdem der korrekte Eintrag gefunden, müssen die gleichen Konfigurationsschritte, die in Abschnitt beschrieben sind, angewendet werden DCOM Konfiguration auf der OPC Client Seite Die DCOM Konfiguration auf der OPC Client Seite ist einfacher als auf der NETx Server Seite, da nur die Standard DCOM Einstellungen geändert werden müssen. Die notwendigen DCOM Einstellungen auf der Client Seite sind ident zu jenen auf der NETx Server Seite. Daher muss der DCOM Konfigurationsdialog geöffnet und die selben Einstellungen wie in Abschnitt beschrieben durchgeführt werden. NETx DCOM Einstellungsdokumentation Seite 15 von 16

16 A. Appendix A.1. Support und Kontakt Bitte senden Sie Supportfragen an: Falls Sie generelle Fragen bezüglich Produkte und Dienstleistungen haben, bitte senden Sie ein E Mail an: office@netxautomation.com NETx DCOM Einstellungsdokumentation Seite 16 von 16