3 Hinweise zu SCALANCE XB-200, SCALANCE XC-200 und SCALANCE XP-200

Transkript

1 Copyright Siemens AG All rights reserved. Technische Änderungen bleiben vorbehalten. Willkommen zur SIMATIC NET Dokumentations-DVD für SCALANCE X, CSM377 und CSM /2017, A5E BX 1 Einleitung 2 Hinweise zu und XR Änderungen im Mengengerüst 2.2 Betrieb eines WLAN-Access Points an einem für MAC-Authentifizierung konfigurierten Port 2.3 VLAN-Zuordnung über den Namen bei dem Parameter "VLAN-Zuordnung von RADIUS übernehmen" 2.4 Anpassung der Parameter in CLI-Befehlen (ACL) 2.5 Angabe von IP-Adressen 2.6 PROFINET-Konfiguration mit aktivierter Ringredundanz 2.7 Abweichende Bitfeld-Kodierung in SNMP-Objekt 2.8 User-Passwörter bei SNMPv3 2.9 Keine Lichtleistungsmessung 2.10 Abweichende CLI-Befehle bei FMP 2.11 Konfiguration über STEP Abweichende Beschreibung bei RMON 2.13 Abweichende Anzeige bei Diagnosealarmen 2.14 Zusätzlicher CLI-Befehl zur Prüfung der Routing-Gateways (Next Hops) 3 Hinweise zu SCALANCE XB-200, SCALANCE XC-200 und 3.1 Zurücksetzen über das Primary Setup Tool 3.2 RADIUS-Authentifizierung und dynamische IP-Adresszuweisung über DHCP 3.3 Maximale Anzahl verwaltbarer IPv4-Adressen bei DHCP 3.4 Konfiguration von Flow Control

2 1 Einleitung Hinweise zur DVD Sie finden auf dieser SIMATIC NET Dokumentations-DVD folgende Dokumente und Hilfsprogramme: Produktdokumentation Primary Setup Tool: Hilfsprogramm zur IP-Adressvergabe OPC-Profile Open Source Informationen Hinweise zur Liesmich-Datei Lesen Sie vor der Nutzung der Geräte und Software sorgfältig diese Liesmich-Datei. Die folgenden Kapitel beschreiben Abweichungen oder Ergänzungen gegenüber der Produktdokumentation. Die Hinweise in der Liesmich-Datei enthalten aktuelle Zusatzinformationen über die Produkte. Sie sind Aussagen in anderen Dokumenten in der Verbindlichkeit übergeordnet. SIMATIC, SIMATIC NET und SCALANCE sind eingetragene Marken der Siemens AG. Die übrigen Bezeichnungen können Marken sein, deren Benutzung durch Dritte für deren Zweck die Rechte der Inhaber verletzen kann. Copyright Weitergabe sowie Vervielfältigung dieser DVD, Verwertung und Mitteilung ihres Inhalts ist nicht gestattet, soweit nicht ausdrücklich zugestanden. Zuwiderhandlungen verpflichten zu Schadenersatz. Alle Rechte vorbehalten, insbesondere für den Fall der Patenterteilung oder GM-Eintragung. Haftungsausschluss Sollten entgegen den nachfolgend genannten Einschränkungen die jeweiligen Funktionen dennoch genutzt werden, wird keine Gewährleistung und Haftung übernommen. Wir haben den Inhalt der DVD auf Übereinstimmung mit der beschriebenen Hard- und Software geprüft. Dennoch können Abweichungen nicht ausgeschlossen werden, sodass wir für die vollständige Übereinstimmung keine Gewähr übernehmen. Die Angaben auf dieser DVD werden regelmäßig überprüft, und notwendige Korrekturen sind in den nachfolgenden Auflagen enthalten. Für Verbesserungsvorschläge sind wir dankbar. Vor jedem Eintrag ist angegeben, für welches Gerät er gültig ist. Wenn sich eine Information nur auf ein Gerät bezieht, wird das entsprechende Gerät explizit im Text genannt. Wenn kein Gerät genannt wird, gilt die Information für alle Geräte, die unter aufgeführt sind. Security-Hinweise Für den sicheren Betrieb von Produkten und Lösungen von Siemens ist es erforderlich, geeignete Schutzmaßnahmen (z. B. Zellenschutzkonzept) zu ergreifen und jede Komponente in ein ganzheitliches Industrial Security-Konzept zu integrieren, das dem aktuellen Stand der Technik entspricht. Dabei sind auch eingesetzte Produkte von anderen Herstellern zu berücksichtigen. Weitergehende Informationen über Industrial Security finden Sie unter

3 2 Hinweise zu und Die in diesem Kapitel beschriebenen Abweichungen oder Ergänzungen zur Produktdokumentation gelten für folgende Produkte und Firmware-Versionen: Firmware ab Version Firmware ab Version Änderungen im Mengengerüst Layer 2: Unicast Funktion maximale Anzahl Statische MAC-Adressen in der Forward Database (FDB) 256 Security: MAC-Authentifizierung Funktion Gleichzeitige MAC-Authentifizierungen (authentifiziert und geblockt) pro maximale Anzahl 2000 Gerät Gleichzeitige MAC-Authentifizierungen (authentifiziert und geblockt) pro 100 Port (konfigurierbar) Die maximale Anzahl an statisch konfigurierbaren MAC-Unicast-Einträgen ist unabhängig von der Anzahl der MAC-Authentifizierungen. Wenn die maximale Anzahl der MAC-Authentifizierungen pro Gerät überschritten wird, werden alle MAC-Authentifizierungen des Ports zurückgesetzt, an dem der Wert überschritten wurde. Wenn die maximale Anzahl der MAC-Authentifizierungen pro Port überschritten wird, werden alle MAC-Authentifizierungen des Ports zurückgesetzt. 2.2 Betrieb eines WLAN-Access Points an einem für MAC-Authentifizierung konfigurierten Port Neuer Wert für den Parameter "MAC-Auth. max. zugelassene Adressen"

4 Sie können für den Parameter "MAC-Auth. max. zugelassene Adressen" den Wert "0" einstellen. Diese Einstellung bewirkt, dass nach der ersten erfolgreichen Authentifizierung einer MAC-Adresse der Port für alle MAC-Adressen freigeschaltet ist. Anwendungsfall Sie konfigurieren für einen Port bei dem Parameter "MAC-Auth. max. zugelassene Adressen" den Wert "0". Schließen Sie an diesem Port einen WLAN-Access Point an. Nachdem sich der AP erfolgreich authentifiziert hat, sind alle MAC-Adressen auf diesem Port freigeschaltet. Alle mit dem AP verbundenen WLAN-Clients können ohne eigene Authentifizierung an dem Port kommunizieren. Stellen Sie sicher, dass die Authentifizierung der Clients durch den AP erfolgt. Konfiguration Im Web Based Management Security > AAA > 802.1X Authenticator Im Command Line Interface no dot1x mac-auth mac-addr count Firmware-Kompatibilität In Firmware-Versionen < ist der Wert "0" für den Parameter "MAC-Auth. max. zugelassene Adressen" keine gültige Eingabe. Wenn Sie mit der Firmware-Version den Wert "0" für den Parameter "MAC-Auth. max. zugelassene Adressen" konfigurieren und auf das Gerät eine FW- Version < aufspielen, ist die Funktion MAC-Authentifizierung auf den entsprechenden Ports deaktiviert. Konfigurieren Sie die MAC-Authentifizierung auf diesen Ports neu. 2.3 VLAN-Zuordnung über den Namen bei dem Parameter "VLAN-Zuordnung von RADIUS übernehmen" VLAN-Zuordnung über den VLAN-Namen Wenn ein Port bei der Authentifizierung über die Funktion "VLAN-Zuordnung von RADIUS übernehmen" dynamisch einem VLAN zugewiesen wird, ist die Zuordnung über die VLAN-ID oder den VLAN-Namen möglich. Konfigurieren Sie auf dem RADIUS-Server folgende Werte: Tunnel-Type = VLAN Tunnel-Medium-Type = IEEE-802 Tunnel-Private-Group-Id = VLAN-ID oder VLAN-Name Der IE-Switch unterscheidet wie folgt: VLAN-ID: Der RADIUS-Server übermittelt für den Parameter "Tunnel-Private-Group-Id" einen numerischen String. VLAN-Name: Der RADIUS-Server übermittelt für den Parameter "Tunnel-Private-Group-Id" einen alphanumerischen String. 2.4 Anpassung der Parameter in CLI-Befehlen (ACL)

5 Notwendiger Parameter wird optional Bei den folgenden CLI-Befehlen wurden die Parameter angepasst: no ip access-group no mac access-group Die Parameter in und out waren bisher notwendig {in out} und sind jetzt optional [{in out}]: no ip access-group [<access-list-number(1-128)>][{in out}] no mac access-group [<access-list-number(1-128)>][{in out}] 2.5 Angabe von IP-Adressen Angabemöglichkeiten Zahlen in IPv4-Adressen können im CLI wie folgt angegeben werden: dezimal hexadezimal (Schreibweise "0xa", ergibt 10 dezimal) oktal (Schreibweise "010", ergibt 8 dezimal) Beispiele Schreibweise Bedeutung x PROFINET-Konfiguration mit aktivierter Ringredundanz PROFINET-Konfiguration mit aktivierter Ringredundanz bei Geräten mit Default-Einstellung Wenn Sie eine PROFINET-Konfiguration, bei der Ringredundanz aktiviert ist, auf ein Gerät mit Default-Einstellungen laden, müssen Sie zuvor über WBM oder CLI Spanning Tree auf dem Gerät deaktivieren.

6 2.7 Abweichende Bitfeld-Kodierung in SNMP-Objekt Abweichende Bitfeld-Codierung in SNMP-Objekt vacmviewtreefamilymask Wenn Sie das SNMP-Objekt vacmviewtreefamilymask über SNMP einstellen wollen, beachten Sie folgenden Unterschied zwischen der standardkonformen Kodierung des SNMP-Objekts und der Implementierung bei SCALANCE X. Standardkonforme Kodierung des SNMP-Objekts "vacmviewtreefamilymask" Jedes Bit der Bit-Maske ist einem Element der OID zugeordnet und legt fest, ob das Element maskiert wird oder nicht. Implementierung des SNMP-Objekts "vacmviewtreefamilymask" bei SCALANCE X Jedes Byte des Oktett-Strings ist einem Element der OID zugeordnet. Das letzte Bit eines jeden Bytes legt fest, ob das Element maskiert wird oder nicht. Beispiel OID Maske Standardkonforme Kodierung F0 SCALANCE X-Kodierung User-Passwörter bei SNMPv3 Sonderzeichen in User-Passwörtern für SNMPv3 Wenn Sie User-Passwörter für SNMPv3 über das CLI eingeben (Befehl snmp user), können Sie keine Sonderzeichen eingeben. Über das WBM können Sie bei User-Passwörtern für SNMPv3 Sonderzeichen eingeben. 2.9 Keine Lichtleistungsmessung

7 Keine Lichtleistungsmessung Die aufgeführten Geräte unterstützen keine Diagnose mittels Lichtleistungsmessung Abweichende CLI-Befehle bei FMP Diskrepanz zwischen Firmware und Projektierungshandbuch Abweichend von den Angaben im Projektierungshandbuch "/XR-500 Command Line Interface" lauten die CLI-Befehle zu FMP wie folgt: fmp power-loss [req { <integer(0-0)> - <integer(1-55)>}] [dem { <integer(0-0)> - <integer(1-55)>}] fmp rx-power [req { <integer(0-0)> - <integer(1-40)>}] [dem { <integer(0-0)> - <integer(1-40)>}] Bei folgenden Befehlen lautet der Parameter port und nicht interface: show fmp limit show fmp status Die Einheit des Befehls fmp rx-power ist dbm und nicht db Konfiguration über STEP7 Diskrepanz zwischen Firmware und Projektierungshandbuch Abweichend von den Angaben in den Projektierungshandbüchern "/XR-500 Web Based Management" und "/XR-500 Command Line Interface" können Sie die Funktionen Loop Detection und Mirroring nicht über STEP7 konfigurieren Abweichende Beschreibung bei RMON Diskrepanz zwischen Firmware und Projektierungshandbuch Beachten Sie folgende Abweichungen von den Angaben im Projektierungshandbuch "SCALANCE XM-400/XR-500 Command Line Interface":

8 rmon event <number(1-500)> [description<event-description(127)>] [owner<ownername(127)>] [trap<notify(127)>] Als gültige Eingabe für den Parameter notify ist nur "SNMPv1Traps" zugelassen. Das Versenden von Traps konfigurieren Sie global für das Gerät mit dem Befehl snmp notify Abweichende Anzeige bei Diagnosealarmen Diskrepanz zwischen Firmware und Projektierungshandbuch Beachten Sie folgende Abweichungen von den Angaben im Projektierungshandbuch "SCALANCE XM-400/XR-500 Command Line Interface": Der Befehl show environmental temperature ist nicht verfügbar. Der Befehl show env temperature ist verfügbar. Dieser Befehl zeigt die Temperatur des Systems an. Beachten Sie folgende Abweichungen von den Angaben im Projektierungshandbuch "SCALANCE XM-400/XR-500 Web Based Management": Die Seite "Information > Diagnose" ist nicht verfügbar Zusätzlicher CLI-Befehl zur Prüfung der Routing-Gateways (Next Hops) Diskrepanz zwischen Firmware und Projektierungshandbuch Der folgende CLI-Befehl ist in der Firmware verfügbar: [no] ipv4 nexthop arp_keep_alive [interval <integer( )>] Wenn Sie die Funktion aktivieren, prüft das Gerät für alle Einträge in der Routing-Tabelle, ob es für das angegebene Gateway (Next Hop) einen Eintrag in der ARP-Tabelle gibt. Wenn es keinen Eintrag in der ARP-Tabelle gibt, sendet das Gerät eine ARP-Anfrage. Die Prüfung wird in dem angegebenen Intervall durchgeführt. Geben Sie das Intervall in Sekunden an. Wenn die Funktion aktiviert wird, ist der Defaultwert für das Intervall 30 Sekunden. Der Defaultwert der Funktion ist "deaktiviert".

9 3 Hinweise zu SCALANCE XB-200, SCALANCE XC-200 und Die in diesem Kapitel beschriebenen Abweichungen oder Ergänzungen zur Produktdokumentation gelten für folgende Produkte und Firmware-Versionen: SCALANCE XB-200 Firmware ab Version 2.0 SCALANCE XC-200 Firmware ab Version 2.1 Firmware ab Version Zurücksetzen über das Primary Setup Tool SCALANCE XB-200 SCALANCE XC-200 Gerät über das Primary Setup Tool zurücksetzen Wenn Sie mit dem Primary Setup Tool den Befehl Baugruppe > Zurücksetzen ausführen, wird das Gerät nicht auf Werkseinstellungen zurückgesetzt und es erfolgt kein Neustart. Es werden folgende Parameter zurückgesetzt: IP-Adresse Methode der IP-Adresszuweisung Systemname Kontaktperson Gerätestandort PNIO-Gerätename Ring-Ports Ringredundanzverfahren Die LLDP-Einstellung können Sie nach einem Neustart des Geräts ändern. 3.2 RADIUS-Authentifizierung und dynamische IP-Adresszuweisung über DHCP SCALANCE XB-200 SCALANCE XC-200 Problemstellung Wenn Sie die RADIUS-Authentifizierung 802.1X auf einem SCALANCE X aktiviert haben, kann es zu Verzögerungen bei der Vergabe von IP-Adressen an angeschlossene DHCP-Clients kommen. Randbedingungen

10 Ein DHCP-Client wechselt nach 4 unbeantworteten DHCP-Discover-Telegrammen in einen Ruhemodus. Auf Standard-PCs (z. B. Windows-/Linux-PC) bleiben DHCP-Clients für ca. 3-7 Minuten im Ruhemodus, auf SCALANCE-Geräten für 195 Sekunden. Nachdem ein DHCP-Client den Ruhemodus verlassen hat, sendet er erneut DHCP- Discover-Telegramme. RADIUS-Authentifizierung und DHCP Der DHCP-Client kann erst mit dem DHCP-Server kommunizieren, nachdem die RADIUS- Authentifizierung auf dem SCALANCE X erfolgreich abgeschlossen ist. Wenn der Authentifizierungsprozess noch nicht erfolgreich abgeschlossen ist, bevor der DHCP-Client in den Ruhemodus wechselt, haben Sie folgende Möglichkeiten, um eine gültige IP-Adresse für den DHCP-Client zu erhalten: Warten Sie, bis der DHCP-Client den Ruhemodus verlässt und automatisch wieder DHCP- Discover-Telegramme versendet. Starten Sie den DHCP-Client manuell neu. Gründe für eine Verzögerung des Authentifizierungsprozesses Der erste konfigurierte RADIUS-Server ist nicht erreichbar. Es findet ein Fallback auf MAC-Authentifizierung statt (nur bei ). 3.3 Maximale Anzahl verwaltbarer IPv4-Adressen bei DHCP Abweichung bei einer Angabe in den Projektierungshandbüchern Folgende Angabe in den Projektierungshandbüchern SCALANCE XB-200/XP-200 Web Based Management und SCALANCE XB-200/XP-200 Command Line Interface im Mengengerüst ist nicht zutreffend: Konfigurierbare Funktion Maximale Anzahl IPv4-Adressen, die der DHCP-Server verwaltet (dynamisch + statisch) 576 Richtig ist der folgende Wert: Konfigurierbare Funktion Maximale Anzahl IPv4-Adressen, die der DHCP-Server verwaltet (dynamisch + statisch) Konfiguration von Flow Control SCALANCE XB-200 SCALANCE XC-200

11 Flow Control Um die Funktion Flow Control zu nutzen, aktivieren Sie Flow Control auf allen Eingangs- und Ausgangsports. Dokument-Identifikationsnummer: C7900-G8974-C347-15