Service & Support. Security Status des CP1628 über die Online-Ansicht des Security Configuration Tool (SCT) ermitteln

Transkript

1 Deckblatt Security Status des über die Online-Ansicht des Security Configuration Tool (SCT) ermitteln und Security Configuration Tool FAQ Juli 2012 Service & Support Answers for industry.

2 Fragestellung Dieser Beitrag stammt aus dem Siemens Industry Online Support. Es gelten die dort genannten Nutzungsbedingungen ( Durch den folgenden Link gelangen Sie direkt zur Downloadseite dieses Dokuments. Vorsicht Die in diesem Beitrag beschriebenen Funktionen und Lösungen beschränken sich überwiegend auf die Realisierung der Automatisierungsaufgabe. Bitte beachten Sie darüber hinaus, dass bei Vernetzung Ihrer Anlage mit anderen Anlagenteilen, dem Unternehmensnetz oder dem Internet entsprechende Schutzmaßnahmen im Rahmen von Industrial Security zu ergreifen sind. Weitere Informationen dazu finden Sie unter der Beitrags-ID Frage Wie können Sie im Security Configuration Tool (SCT) über die Online-Ansicht den Security Status des anzeigen? Antwort Folgen Sie zur umfassenden Beantwortung dieser Frage den in diesem Dokument aufgeführten Handlungsanweisungen und Hinweisen. V1.0, Beitrags-ID:

3 Inhaltsverzeichnis Inhaltsverzeichnis 1 Einleitung Lokale und remote Diagnose eines NDIS IP-Adesse und IE IP-Adresse eines liegen im gleichen Subnetz NDIS IP-Adresse und IE IP-Adresse eines liegen nicht im gleichen Subnetz NDIS IP-Adresse und IE IP-Adresse mehrerer liegen nicht im gleichen Subnetz...10 V1.0, Beitrags-ID:

4 1 Einleitung 1 Einleitung Randbedingungen Der ermöglicht den sicheren Anschluss an Industrial Ethernet für SIMATIC PG/PC und PCs mit PCI Express-Steckplatz. Für den können zwei unterschiedliche IP-Adressen konfiguriert werden, da dieser für unterschiedliche Kommunikationszwecke ausgelegt ist: Bürokommunikation, zum Beispiel TCP/IP Datenaustausch in einer Automatisierungsebene mit S7-Kommunikation, Offener Kommunikation (SEND/RECEIVE) etc. Um die Anbindung eindeutig zu identifizieren, werden dem unterschiedliche IP-Adressen zugeordnet: NDIS IP-Adresse für die Bürokommunikation über Microsoft Netzwerkverbindungen Industrial Ethernet IP-Adresse, die im projektierten Betrieb für die Kommunikation in der Automatisierungsebene verwendet wird. Wenn Sie in einem PC zwei oder mehr verwenden, dann dürfen die NDIS IP-Adressen unter Windows nicht im gleichen Subnetz liegen. Das Security Configuration Tool (SCT) führt die Diagnose über HTTPS aus und adressiert den über dessen NDIS IP-Adresse, um auf die Industrial Ethernet Diagnosedaten zuzugreifen. Dies gilt für die lokale und remote Diagnose eines. Security Funktionen Wenn Sie für den eigene Firewall Regeln über das SCT projektieren, verwenden Sie folgende Syntax für die Firewall Regeln: <Aktion> <Von> <Nach> <Quell-IP> <Ziel-IP> Folgende Security Funktionen sind im integriert: Integrierte Sicherheitsmechanismen wie Firewall, VPN, etc. Sichere Einbindung ins Netzwerkmanagement (SNMP V3) Sichere Übertragung der Uhrzeit (NTP V3) Nachvollziehbarkeit durch Datenlogging anhand von Standard IT- Mechanismen Die integrierten Sicherheitsmechanismen des ermöglichen die Absicherung wichtiger Rechnersysteme einschließlich der dazugehörigen Datenkommunikation innerhalb eines Automatisierungsnetzes oder als sicherer Fernzugriff. Die Security Funktionen werden ausschließlich über das Security Configuration Tool (SCT) vorgenommen, dass über STEP 7/NCM PC aufgerufen wird. V1.0, Beitrags-ID:

5 1 Einleitung Szenarien für die lokale und remote Diagnose eines Das Security Configuration Tool (SCT) bietet die Möglichkeit in der Online-Ansicht den Security Status des anzuzeigen. Im Folgenden werden 3 Szenarien beschrieben: 1. lokale und remote Diagnose eines, wenn die NDIS IP-Adresse und die Industrial Ethernet IP-Adresse der Baugruppe im gleichen Subnetz liegen. 2. lokale und remote Diagnose eines, wenn die NDIS IP-Adresse und die Industrial Ethernet IP-Adresse der Baugruppe nicht im gleichen Subnetz liegen. 3. lokale und remote Diagnos mehrerer, wenn die NDIS IP-Adresse und die Industrial Ethernet IP-Adresse der Baugruppen nicht im gleichen Subnetz liegen. V1.0, Beitrags-ID:

6 2 Lokale und remote Diagnose eines 2.1 NDIS IP-Adesse und IE IP-Adresse eines liegen im gleichen Subnetz Übersicht Die Abbildung 2-1 zeigt eine Übersicht der Konfiguration für die lokale und remote Diagnose eines. Die NDIS IP-Adresse und die IE IP-Adresse der Baugruppe liegen im gleichen Subnetz. Abbildung 2-1 lokal PC1 STEP 7 + SCT 1) remote PC2 Industrial Ethernet PC1 (lokal) NDIS IP-Adresse: / 24 IE IP-Adresse: / 24 PC2 (remote) NDIS IP-Adresse: / 24 IE IP-Adresse: / 24 1) Das Security Configuration Tool (SCT) führt die Diagnose über den im PC1 durch. Lokale Diagnose des im PC1 Über die NDIS IP-Adresse kann das SCT die lokale IE IP-Adresse adressieren und die Daten des im PC1 auslesen, da beide IP-Adressen im gleichen Subnetz liegen. Wenn im des PC1 die Firewall aktiviert ist, muss im SCT für die Baugruppe keine spezielle IP-Regel hinzugefügt werden. Remote Diagnose des im PC2 Über die NDIS IP-Adresse des im PC1 sowie über die NDIS IP-Adresse des im PC2 kann das SCT die remote IE IP-Adresse adressieren und die Daten des im PC2 auslesen, da alle IP-Adressen im gleichen Subnetz liegen.. Wenn im des PC2 die Firewall aktiviert ist, müssen Sie in der Firewall der Baugruppe eine Allow-Regel für den diagnostizierenden im PC1 eintragen. In Tabelle 2-1 ist die erforderliche Allow-Regel dargestellt. Tabelle 2-1 Action From To Source IP Allow Extern Station Destination IP V1.0, Beitrags-ID:

7 2.2 NDIS IP-Adresse und IE IP-Adresse eines liegen nicht im gleichen Subnetz Übersicht Die Abbildung 2-2 zeigt eine Übersicht der Konfiguration für die lokale und remote Diagnose eines. Da die NDIS IP-Adresse und die IE IP-Adresse der Baugruppe nicht im gleichen Subnetz liegen, tragen Sie auf dem lokalen PC1 in Windows Routen ein. In der Projektierung des remoten tragen Sie die IE IP-Adresse des diagnostizierenden im PC1 als Router ein. Abbildung 2-2 lokal STEP 7 + SCT 1) remote PC1 PC2 Industrial Ethernet PC1 (lokal) PC2 (remote) NDIS IP-Adresse: / 24 IE IP-Adresse: / 24 NDIS IP-Adresse: / 24 IE IP-Adresse: / 24 Interface-Nr.: 15 2) Interface-Nr.: 14 2) 1) Das Security Configuration Tool (SCT) führt die Diagnose über den im PC1 durch. 2) Die Interface-Nr. wird in der Windows-Konsole mit dem Befehl route print interface ermittelt. Wenn die NDIS IP-Adresse in einem anderen Subnetz liegt als die IE IP-Adresse, tragen Sie auf dem PC1 unter Windows ein Gateway in die Routing Tabelle ein. In diesem Beispiel tragen Sie die NDIS IP-Adresse des im PC1 als Gateway ein. Auf dem PC1 starten Sie die Windows-Konsole über das Menü Start Ausführen cmd.exe. In der Windows-Konsole geben Sie den Befehl route mit folgender Syntax ein: route p add <Ziel-IP-Adresse> mask <Subnetz> <Gateway> if <Interface-Nr.> Um sicherzustellen, dass die richtige Schnittstelle für das angegebene Gateway von Windows verwendet wird, geben Sie im Befehl route die Interface-Nr. des im PC1 an. Die Interface-Nr. ermitteln Sie in der Windows-Konsole mit folgendem Befehl: route print interface Im diesem Beispiel wurde die Interface-Nr. 15 ermittelt. V1.0, Beitrags-ID:

8 Lokale Diagnose des im PC1 Für die lokale Diagnose des im PC1 tragen Sie auf dem PC1 in Windows folgende Route ein: Tabelle 2-2 Ziel-IP- Adresse Subnetz Gateway Interface- Nr. route p add mask if 15 Mit dem Eintrag der Route kann das SCT die lokale IE IP-Adresse über die NDIS IP-Adresse , die als Gateway eingetragen wurde, adressieren und die Daten des im PC1 auslesen. Wenn im des PC1 die Firewall aktiviert ist, muss im SCT für die Baugruppe keine spezielle IP-Regel hinzugefügt werden. Remote Diagnose des im PC2 Für die remote Diagnose des im PC2 tragen Sie auf dem PC1 in Windows folgende Route ein: Tabelle 2-3 Ziel-IP- Adresse Subnetz Gateway Interface- Nr. route p add mask if 15 Um den im PC2 remote diagnostizieren zu können, tragen Sie in dessen Projektierung die IP-Adresse des Routers ein. Dazu öffnen Sie in STEP 7 die Hardware-Konfiguration des PC2. In der Hardware- Konfiguration doppelklicken Sie auf den, um den Eigenschaftsdialog der Baugruppe zu öffnen. Im Eigenschaftsdialog des klicken Sie auf die Schaltfläche Eigenschaften, um den Dialog Eigenschaften Ethernet Schnittstelle zu öffnen. Hier tragen Sie die IE IP-Adresse des im PC1 als Netzübergang (Gateway) ein. V1.0, Beitrags-ID:

9 Abbildung 2-3 Wenn im des PC2 die Firewall aktiviert ist, müssen Sie in der Firewall der Baugruppe eine Allow-Regel für den diagnostizierenden im PC1 eintragen. In Tabelle 2-4 ist die erforderliche Allow-Regel dargestellt. Tabelle 2-4 Action From To Source IP Allow Extern Station Destination IP V1.0, Beitrags-ID:

10 2.3 NDIS IP-Adresse und IE IP-Adresse mehrerer liegen nicht im gleichen Subnetz Übersicht Die Abbildung 2-4 zeigt eine Übersicht der Konfiguration für die lokale und remote Diagnose mehrerer. Gemäß der Vorgaben von Windows dürfen bei Verwendung von mehreren Netzwerkkarten in einem PC, deren NDIS IP-Adressen nicht im gleichen Subnetz liegen. In diesem Beispiel liegen die NDIS IP-Adressen der beiden innerhalb eines PCs im Subnetz x und x. Des Weiteren liegen die NDIS IP-Adresse und die IE IP-Adresse der Baugruppen nicht im gleichen Subnetz. Auf dem lokalen PC1 müssen Sie in Windows Routen eintragen. In der Projektierung des remoten (1) und (2) tragen Sie die IE IP-Adresse des diagnostizierenden (1) im PC1 als Router ein. Abbildung 2-4 lokal PC1 (1) (2) STEP 7 + SCT 1) remote PC2 (1) (2) Industrial Ethernet PC1 (lokal) PC2 (remote) (1) (1) NDIS IP-Adresse: / 24 IE IP-Adresse: / 24 NDIS IP-Adresse: / 24 IE IP-Adresse: / 24 Interface-Nr.: 15 2) Interface-Nr.: 14 2) (2) (2) NDIS IP-Adresse: / 24 IE IP-Adresse: / 24 NDIS IP-Adresse: / 24 IE IP-Adresse: / 24 Interface-Nr.: 17 2) Interface-Nr.: 15 2) 1) Das Security Configuration Tool (SCT) führt die Diagnose über den im PC1 durch. 2) Die Interface-Nr. wird in der Windows-Konsole mit dem Befehl route print interface ermittelt. V1.0, Beitrags-ID:

11 Lokale Diagnose des (1) im PC1 Für die lokale Diagnose des (1) im PC1 tragen Sie auf dem PC1 in Windows folgende Route ein: Tabelle 2-5 Ziel-IP- Adresse Subnetz Gateway Interface- Nr. route p add mask if 15 Mit dem Eintrag der Route kann das SCT die lokale IE IP-Adresse über die NDIS IP-Adresse , die als Gateway eingetragen wurde, adressieren und die Daten des (1) im PC1 auslesen. Wenn im (1) des PC1 die Firewall aktiviert ist, muss im SCT für die Baugruppe keine spezielle IP-Regel hinzugefügt werden. Lokale Diagnose des (2) im PC1 Für die lokale Diagnose des (2) im PC1 tragen Sie auf dem PC1 in Windows folgende Route ein: Tabelle 2-6 Ziel-IP- Adresse Subnetz Gateway Interface- Nr. route p add mask if 17 Mit dem Eintrag der Route kann das SCT die lokale IE IP-Adresse über die NDIS IP-Adresse , die als Gateway eingetragen wurde, adressieren und die Daten des (2) im PC1 auslesen. Wenn im (2) des PC1 die Firewall aktiviert ist, muss im SCT für die Baugruppe keine spezielle IP-Regel hinzugefügt werden. Remote Diagnose des (1) im PC2 Für die remote Diagnose des (1) im PC2 tragen Sie auf dem PC1 in Windows folgende Route ein: Tabelle 2-7 Ziel-IP- Adresse Subnetz Gateway Interface- Nr. route p add mask if 15 Um den (1) im PC2 remote diagnostizieren zu können, tragen Sie in dessen Projektierung die IE IP-Adresse des diagnostizierenden (1) im PC1 als Router ein. Dazu öffnen Sie in STEP 7 die Hardware-Konfiguration des PC2. In der Hardware- Konfiguration doppelklicken Sie auf den (1), um den Eigenschaftsdialog der Baugruppe zu öffnen. Im Eigenschaftsdialog des (1) klicken Sie auf die Schaltfläche Eigenschaften, um den Dialog Eigenschaften Ethernet Schnittstelle zu öffnen. Hier tragen Sie die IE IP-Adresse des (1) im PC1 als Netzübergang (Gateway) ein. V1.0, Beitrags-ID:

12 Abbildung 2-5 Wenn im (1) des PC2 die Firewall aktiviert ist, müssen Sie in der Firewall der Baugruppe eine Allow-Regel für den diagnostizierenden (1) im PC1 eintragen. In Tabelle 2-8 ist die erforderliche Allow-Regel dargestellt. Tabelle 2-8 Action From To Source IP Allow Extern Station Destination IP Remote Diagnose des (2) im PC2 Für die remote Diagnose des (2) im PC2 tragen Sie auf dem PC1 in Windows folgende Route ein: Tabelle 2-9 Ziel-IP- Adresse Subnetz Gateway Interface- Nr. route p add mask if 15 Um den (2) im PC2 remote diagnostizieren zu können, tragen Sie in dessen Projektierung die IE IP-Adresse des diagnostizierenden (1) im PC1 als Router ein. Dazu öffnen Sie in STEP 7 die Hardware-Konfiguration des PC2. In der Hardware- Konfiguration doppelklicken Sie auf den (2), um den Eigenschaftsdialog der Baugruppe zu öffnen. V1.0, Beitrags-ID:

13 Im Eigenschaftsdialog des (2) klicken Sie auf die Schaltfläche Eigenschaften, um den Dialog Eigenschaften Ethernet Schnittstelle zu öffnen. Hier tragen Sie die IE IP-Adresse des (1) im PC1 als Netzübergang (Gateway) ein. Abbildung 2-6 Wenn im (2) des PC2 die Firewall aktiviert ist, müssen Sie in der Firewall der Baugruppe eine Allow-Regel für den diagnostizierenden (1) im PC1 eintragen. In Tabelle 2-10 ist die erforderliche Allow-Regel dargestellt. Tabelle 2-10 Action From To Source IP Allow Extern Station Destination IP V1.0, Beitrags-ID:

14 Die Abbildung 2-7 zeigt die Erreichbarkeit der 4 in der Online-Ansicht des Security Configuration Tool. Abbildung 2-7 V1.0, Beitrags-ID: