IP-basierte Remote Networks

Transkript

1 Applikationsbeschreibung 06/2017 IP-basierte Remote Networks SCALANCE M, SCALANCE S, CP x43-1 Advanced, CP 1x43-1, TS Adapter IE Advanced, SINEMA Remote Connect, LOGO! CMR

2 Siemens AG 2017 All rights reserved Inhaltsverzeichnis Gewährleistung und Haftung Hinweis Die Anwendungsbeispiele sind unverbindlich und erheben keinen Anspruch auf Vollständigkeit hinsichtlich Konfiguration und Ausstattung sowie jeglicher Eventualitäten. Die Anwendungsbeispiele stellen keine kundenspezifischen Lösungen dar, sondern sollen lediglich Hilfestellung bieten bei typischen Aufgabenstellungen. Sie sind für den sachgemäßen Betrieb der beschriebenen Produkte selbst verantwortlich. Diese Anwendungsbeispiele entheben Sie nicht der Verpflichtung zu sicherem Umgang bei Anwendung, Installation, Betrieb und Wartung. Durch Nutzung dieser Anwendungsbeispiele erkennen Sie an, dass wir über die beschriebene Haftungsregelung hinaus nicht für etwaige Schäden haftbar gemacht werden können. Wir behalten uns das Recht vor, Änderungen an diesen Anwendungsbeispiele jederzeit ohne Ankündigung durchzuführen. Bei Abweichungen zwischen den Vorschlägen in diesem Anwendungsbeispiel und anderen Siemens Publikationen, wie z. B. Katalogen, hat der Inhalt der anderen Dokumentation Vorrang. Für die in diesem Dokument enthaltenen Informationen übernehmen wir keine Gewähr. Unsere Haftung, gleich aus welchem Rechtsgrund, für durch die Verwendung der in diesem Anwendungsbeispiel beschriebenen Beispiele, Hinweise, Programme, Projektierungs- und Leistungsdaten usw. verursachte Schäden ist ausgeschlossen, soweit nicht z. B. nach dem Produkthaftungsgesetz in Fällen des Vorsatzes, der groben Fahrlässigkeit, wegen der Verletzung des Lebens, des Körpers oder der Gesundheit, wegen einer Übernahme der Garantie für die Beschaffenheit einer Sache, wegen des arglistigen Verschweigens eines Mangels oder wegen Verletzung wesentlicher Vertragspflichten zwingend gehaftet wird. Der Schadensersatz wegen Verletzung wesentlicher Vertragspflichten ist jedoch auf den vertragstypischen, vorhersehbaren Schaden begrenzt, soweit nicht Vorsatz oder grobe Fahrlässigkeit vorliegt oder wegen der Verletzung des Lebens, des Körpers oder der Gesundheit zwingend gehaftet wird. Eine Änderung der Beweislast zu Ihrem Nachteil ist hiermit nicht verbunden. Weitergabe oder Vervielfältigung dieser Anwendungsbeispiele oder Auszüge daraus sind nicht gestattet, soweit nicht ausdrücklich von der Siemens AG zugestanden. Securityhinweise Siemens bietet Produkte und Lösungen mit Industrial Security-Funktionen an, die den sicheren Betrieb von Anlagen, Systemen, Maschinen und Netzwerken unterstützen. Um Anlagen, Systeme, Maschinen und Netzwerke gegen Cyber-Bedrohungen zu sichern, ist es erforderlich, ein ganzheitliches Industrial Security-Konzept zu implementieren (und kontinuierlich aufrechtzuerhalten), das dem aktuellen Stand der Technik entspricht. Die Produkte und Lösungen von Siemens formen nur einen Bestandteil eines solchen Konzepts. Der Kunde ist dafür verantwortlich, unbefugten Zugriff auf seine Anlagen, Systeme, Maschinen und Netzwerke zu verhindern. Systeme, Maschinen und Komponenten sollten nur mit dem Unternehmensnetzwerk oder dem verbunden werden, wenn und soweit dies notwendig ist und entsprechende Schutzmaßnahmen (z.b. Nutzung von Firewalls und Netzwerksegmentierung) ergriffen wurden. Zusätzlich sollten die Empfehlungen von Siemens zu entsprechenden Schutzmaßnahmen beachtet werden. Weiterführende Informationen über Industrial Security finden Sie unter Die Produkte und Lösungen von Siemens werden ständig weiterentwickelt, um sie noch sicherer zu machen. Siemens empfiehlt ausdrücklich, Aktualisierungen durchzuführen, sobald die entsprechenden Updates zur Verfügung stehen und immer nur die aktuellen Produktversionen zu verwenden. Die Verwendung veralteter oder nicht mehr unterstützter Versionen kann das Risiko von Cyber-Bedrohungen erhöhen. Um stets über Produkt-Updates informiert zu sein, abonnieren Sie den Siemens Industrial Security RSS Feed unter Beitrags-ID: , V2.1, 06/2017 2

3 Siemens AG 2017 All rights reserved Inhaltsverzeichnis Inhaltsverzeichnis Gewährleistung und Haftung Bemerkungen zum Dokument Veranlassung und Zielsetzung Eigenschaften und Nutzen Strukturierung des Dokuments Einführung in Remote Networks Remote Networks & Industrial Security Security Integrated-Produktportfolio SINEMA Remote Connect SCALANCE S612 und S62x SOFTNET Security Client SCALANCE M CP x43-1 Advanced CP 1x43-x CP TS Adapter IE Advanced LOGO! SCALANCE S VPN-Tunnel zwischen SCALANCE S () und SCALANCE S über eine statische IP-Adresse VPN-Tunnel zwischen SCALANCE S () und SCALANCE M81x-1 über eine statische IP-Adresse VPN-Tunnel zwischen SCALANCE S () und SOFTNET Security Client über eine statische IP-Adresse VPN-Tunnel zwischen SCALANCE S () und CP x43-1 Advanced über eine statische IP-Adresse VPN-Tunnel zwischen SCALANCE S () und SCALANCE M874-x über eine statische IP-Adresse VPN-Tunnel zwischen SCALANCE S () und einem Mobile-Client über eine statische IP-Adresse SCALANCE M-800/ S VPN-Tunnel zwischen SCALANCE M81x-1 () und SCALANCE M81x-1 über eine statische IP-Adresse VPN-Tunnel zwischen SCALANCE S615 () und SOFTNET Security Client über eine statische IP-Adresse VPN-Tunnel zwischen SCALANCE M874-x () und CP x43-1 Advanced über eine statische IP-Adresse VPN-Tunnel zwischen SCALANCE M874-x () und CP 1x43-1 über eine statische IP-Adresse VPN-Tunnel zwischen SCALANCE M874-x () und SCALANCE M874-x über eine statische IP-Adresse VPN-Tunnel zwischen SCALANCE M874-x () und einem Mobile-Client über eine statische IP-Adresse SINEMA Remote Connect VPN-Tunnel zwischen SINEMA Remote Connect Server und einem Tablet (ios) VPN-Tunnel zwischen SINEMA RC Server und einem Smartphone (Android) VPN-Tunnel zwischen SCALANCE S615 und SINEMA RC Client über den SINEMA RC Server Beitrags-ID: , V2.1, 06/2017 3

4 Siemens AG 2017 All rights reserved Inhaltsverzeichnis 5.4 VPN-Tunnel zwischen SCALANCE S615 und einem Tablet (ios) über den SINEMA RC Server VPN-Tunnel zwischen SCALANCE S615 und einem Smartphone (Android) über den SINEMA RC Server VPN-Tunnel zwischen zwei identischen Anlagenteilen mit S615 und SINEMA RC Client über den SINEMA RC Server durch Verwendung der NAT-Funktion JumpHost Applikation mit SINEMA RC Server CP x43-1 Advanced VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE S über eine statische IP-Adresse VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M81x-1 über eine statische IP-Adresse VPN-Tunnel zwischen CP x43-1 Advanced () und SOFTNET Security Client über eine statische IP-Adresse VPN-Tunnel zwischen CP x43-1 Advanced () und CP x43-1 Advanced über eine statische IP-Adresse VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M874-x über eine statische IP-Adresse VPN-Tunnel zwischen CP x43-1 Advanced () und einem Mobile-Client über eine statische IP-Adresse CP 1x43-x VPN-Tunnel zwischen CP 1x43-1 () und SCALANCE S über eine statische IP-Adresse VPN-Tunnel zwischen CP 1x43-1 () und SCALANCE M81x-1 über eine statische IP-Adresse VPN-Tunnel zwischen CP 1x43-1 () und SOFTNET Security Client über eine statische IP-Adresse VPN-Tunnel zwischen CP 1x43-1 () und CP x43-1 Advanced über eine statische IP-Adresse VPN-Tunnel zwischen CP 1x43-1 () und CP 1x43-1 über eine statische IP-Adresse VPN-Tunnel zwischen CP 1x43-1 () und SCALANCE M874-x über eine statische IP-Adresse VPN-Tunnel zwischen CP 1x43-1 () und einem Mobile-Client über eine statische IP-Adresse TS Adapter IE Advanced/ LOGO! VPN-Tunnel zwischen TS Adapter IE Advanced () und Windows SSTP-Client über eine statische IP-Adresse VPN-Tunnel zwischen TS Adapter IE Advanced () und TIA Portal über eine statische IP-Adresse VPN-Tunnel zwischen LOGO! () und einem PC über eine statische IP-Adresse Literaturhinweise Historie Beitrags-ID: , V2.1, 06/2017 4

5 Siemens AG 2017 All rights reserved 1 Bemerkungen zum Dokument 1.1 Veranlassung und Zielsetzung 1 Bemerkungen zum Dokument 1.1 Veranlassung und Zielsetzung Veranlassung Zielsetzung Zur Realisierung einer gesicherten Kommunikation gibt es basierend auf dem Security Integrated-Produktportfolio- zahlreiche unterschiedliche, immer an die Applikation angepasste Möglichkeiten. Für den Anwender stellen sich daher bei der Suche nach einer optimalen Lösung folgende Fragen: Welche Lösungen gibt es überhaupt? Wie unterscheiden sich die Lösungen? Das Security-Integrated Portfolio umfasst mehrere Produkte, die untereinander kombinierbar sind. Dadurch entsteht eine Vielzahl an Konfigurationsmöglichkeiten. Dieses Dokument hilft beim Finden einer optimalen Lösung für eine gesicherte Kommunikation auf Basis von VPN. 1.2 Eigenschaften und Nutzen Eigenschaften Das Dokument hat folgende Eigenschaften: übersichtlicher und kompakter Aufbau stichpunktartiger Inhalt und sgrafik der Einzelkonfigurationen Es werden keine Details beschrieben; diese sind in den Einzelkonfigurationen vorhanden. Nutzen Das Dokument bietet dem Leser folgenden Nutzen: Unterstützung bei Planung und Projektierung Schnelles Finden von Informationen bzgl. der Konfigurationsmöglichkeiten Kurze und kompakte der Merkmale Verweis auf die Einzelkonfigurationen Beitrags-ID: , V2.1, 06/2017 5

6 Siemens AG 2017 All rights reserved 1 Bemerkungen zum Dokument 1.3 Strukturierung des Dokuments 1.3 Strukturierung des Dokuments Das Security-Integrated Portfolio von Siemens umfasst mehrere Produkte, die untereinander kombinierbar sind. Dadurch entsteht eine Vielzahl an Konfigurationsmöglichkeiten. Um diese übersichtlich darzustellen, werden die möglichen Konstellationen nach bestimmten Kriterien eingeteilt. In diesem Dokument bekommen Sie eine der Konfigurationen mit Baugruppen des Remote Networks Portfolios. Einteilung nach SIMATIC-Abhängigkeit Die VPN-Lösungen mit den SCALANCE-Baugruppen oder mit dem TS-Adapter sind SIMATIC-unabhängig, d.h. die Applikation hinter dem VPN-Tunnel muss keine SIMATIC-Applikation sein. Der Zugriff auf andere Applikationen über die SCALANCE Baugruppen oder den TS-Adapter ist ebenso möglich. Die VPN-Lösungen mit den CPs sind SIMATIC-basiert, da eine SIMATIC CPU benötigt wird, um den CP zu betreiben. Mit diesen Konfigurationen kann aber über den CP auch auf Nicht-SIMATIC -Anlagenteile zugegriffen werden. Einteilung der Konfigurationen Die möglichen Konstellationen eines IP-basierten Remote Networks werden in Gruppen unterteilt. Kriterium für diese Unterteilung ist die Baugruppe, die als VPN- Server fungiert. Für jede Baugruppe, die als konfiguriert werden kann, gibt es eine eigene Gruppe. Damit ergibt sich folgende Unterteilung an Gruppen: SCALANCE S SCALANCE M-800/ SCALANCE S615 SINEMA Remote Connect CP x43-1 Adv. CP 1x43-x CP 1628 TS Adapter IE Advanced LOGO! CMR Hinweis Konfigurationsbeispiele für den CP 1628 finden Sie unter dem Link \10. Inhalte einer Gruppe Eine Gruppe kann wiederum aus mehreren Konfigurationen bestehen. Alle Konfigurationen haben eine Gemeinsamkeit: der ist bei allen die gleiche Security-Baugruppe - vorgegeben durch die Gruppe. Sie unterscheiden sich in der Baugruppe, die als eingesetzt wird. Für alle möglichen Konstellationen einer Gruppe gibt es ein Dokument im Siemens Industry Online Support mit der konkreten Projektierungsanleitung für die Einstellungen der VPN-Baugruppen. In der folgenden Abbildung ist die Gliederung der Konfigurationen dargestellt. Beitrags-ID: , V2.1, 06/2017 6

7 Siemens AG 2017 All rights reserved 2 Einführung in Remote Networks 2.1 Remote Networks & Industrial Security Abbildung 1-1 s- Doku Remote Access (IP-basiert) Gruppe SCALANCE S SCALANCE M-800 SCALANCE S615 SINEMA Remote Connect CP x43-1 Adv. CP 1x43-x TS- Adapter LOGO! CMR Konfigurationen Konfigurationen, die zur gleichen Gruppe gehören sind mit der gleichen Farbe gekennzeichnet (z. B. Gelb für die Gruppe SCALANCE S). Jede Konfiguration wird in dem entsprechenden Kapitel homogen in einer sgrafik dargestellt, die aufgelistet, der Link zur detaillierten Konfigurationsbeschreibung angegeben. 2 Einführung in Remote Networks 2.1 Remote Networks & Industrial Security Remote Networks Applikationen Remote Networks sind öffentliche oder private Kommunikationsinfrastrukturen zur Abdeckung großer Bereiche oder großer Entfernungen, wie beispielsweise Mobilfunk oder Festnetz. Die geografische Verteilung von Automatisierungszellen erhöht den Bedarf für Telecontrol (Fernwirken) und Teleservice (Fernwarten/Diagnose) in einem Remote Network. Das umfassende Remote Networks Portfolio von Siemens bietet sowohl die Anbindung an klassische (Standleitung, Telefon) als auch an IP-basierte Infrastrukturen (z. B. ). Mögliche Fernzugriff-Applikationen in einem Remote Network sind: Telecontrol Anbindung räumlich weit verteilter Unterstationen (Remote Terminal Units RTUs) an ein oder mehrere zentrale Leitsysteme zum Zweck der Überwachung und Steuerung. Teleservice Datenaustausch mit räumlich entfernten, technischen Anlagen wie Maschinen, Anlagen und Computern zum Zweck der Fehlererkennung, Diagnose, Wartung, Reparatur und Optimierung. Beitrags-ID: , V2.1, 06/2017 7

8 Siemens AG 2017 All rights reserved 2 Einführung in Remote Networks 2.1 Remote Networks & Industrial Security Integration in das Industrial Security-Konzept Der Fokus dieses Dokuments liegt bei den IP-basierten Netzwerken. Da der Fernzugriff auf die Anlage über ein öffentliches Netz (z. B. ) stattfindet, ist der Schutz vor Datenmanipulation und Spionage besonders wichtig. Hierfür werden Virtual Private Networks (VPN) eingesetzt. VPN Ein VPN bezeichnet ein privates Netzwerk, das zur Übertragung der Daten an ein privates Zielnetz ein öffentliches Netzwerk (z. B. ) als Transitnetzwerk benutzt. Die privaten Netze und das Transitnetzwerk müssen dabei untereinander nicht kompatibel sein. VPN nutzt dafür zwar die Adressierungsmechanismen des Transitnetzwerks, verwendet aber eigene Netzwerkpakete, um den Transport privater Datenpakete von den anderen zu trennen. Diese Tatsache lässt die privaten Netzwerke wie ein gemeinsames, logisches (virtuelles) Netzwerk erscheinen. Für den Aufbau eines VPN werden VPN- benötigt. Die VPN Security Integrated-Produkte (VPN-) von Siemens (SCALANCE S/M und CPs) unterstützen das IPsec (IP-Security) Protokoll. SINEMA Remote Connect als ermöglicht VPN-Verbindungen über OpenVPN und IPsec. LOGO! CMR unterstützt die Open-Funktionalität mit dem Pre-shared key-verfahren. Der SCALANCE S615 unterstützt sowohl das IPsec-Protokoll, kann aber auch als Open eingesetzt werden. Der TS Adapter IE Advanced nutzt das SSTP Protokoll (Secure Socket Tunneling Protocol) von Microsoft. und Die Teilnehmer einer gesicherten Datenkommunikation über VPN nehmen unterschiedliche Rollen ein: Der Tunnelendpunkt, der den VPN-Verbindungsaufbau aktiv startet, wird als VPN- Client bezeichnet. Die Gegenstelle, die auf den wartet, heißt. Hinweis Mehr Informationen über das Siemens Security Konzept erhalten Sie im Link \3\. Beitrags-ID: , V2.1, 06/2017 8

9 Siemens AG 2017 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio 2.2 Security Integrated-Produktportfolio Durch die Kombination unterschiedlicher Sicherheitsmaßnahmen wie Firewall und VPN schützen die Security-Baugruppen einzelne Geräte oder auch ganze Automatisierungszellen vor: Datenspionage Datenmanipulation unerwünschten Zugriffen In der folgenden Abbildung werden die Remote Access Zellen dargestellt. Abbildung 2-1 Service PCs SSC SINEMA RC SCALANCE M874-x Smartphone mit IPSec Client App SCALANCE S Windows SSTP SCALANCE M81x-1 Automatisierungszellen SCALANCE S SIMATIC S7 Stationen SCALANCE M874-x SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced SIMATIC S oder S mit CP 1x43-1 TS Adapter IE Advanced SIMATIC S7 Stationen SCALANCE M81x-1 SIMATIC S7 Stationen SIMATIC S7 Stationen Um Sie bei der Produktauswahl zu unterstützen, werden hier die wichtigsten Merkmale der jeweiligen Security-Baugruppen beschrieben. Beitrags-ID: , V2.1, 06/2017 9

10 Siemens AG 2017 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio SINEMA Remote Connect SINEMA Remote Connect ist eine Managementplattform für Remote Networks, welche zentral sichere Tunnelverbindungen verwaltet. So können weitverteilte Anlagen oder Maschinen über Fernzugriff komfortabel und sicher gewartet werden. Auch, wenn die Maschinen in fremden Netzwerken eingebunden sind. Zum Beispiel in den Anlagen bei Endkunden von Maschinenbauern. Bestandteile einer Lösung mit SINEMA Remote Connect sind: SINEMA Remote Connect als Endgeräte (): SCALANCE S615 (mit KEY-PLUG) SCALANCE S612, S623, S627 SCALANCE M-800 (mit KEY-PLUG) SINEMA Remote Connect Client SOFTNET Security Client Open SINEMA Remote Connect Server SINEMA Remote Connect Server ist eine Server-Applikation und bietet ein durchgängiges Verbindungsmanagement von verteilten Netzwerken über das. Sie koordiniert den sicheren Verbindungsaufbau zwischen Anwendern, weitverteilten Anlagen und Maschinen. Folgende Funktionen übernimmt der SINEMA Remote Connect Server: Verwaltung und Aufbau verschlüsselter Verbindungen mit OpenVPN. Verifizierung über CA-Zertifikat oder Fingerprint. Nutzerverwaltung mit der Projektierung von Rechten. Aufbau permanent oder Event-basierter Verbindungen (Aufbau per Wake-up- SMS oder durch ein Signal am digitalen Eingang). Unterstützung von Routing und NAT zur Anbindung von Subnetzen hinter dem SCALANCE S615. Bereitstellung eines sicheren Fernzugriffs auf unterlagerte Netzwerke zu Wartungs-, Steuerungs- und Diagnosezwecken. Web Based Management (WBM) für die Konfiguration des Servers. Beitrags-ID: , V2.1, 06/

11 Siemens AG 2017 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio SCALANCE S615 Der SCALANCE S615 ist eine Security Baugruppe zur Absicherung von Geräten, Automatisierungszellen oder Netzsegmenten in Ethernet Netzwerken gegen äußere und innere Gefahren. Er bietet die gleichen Funktionalitäten und Eigenschaften wie die bisherigen SCALANCE M Varianten. Hinzu kommen einige spezifische LAN-Funktionen, welche eine optimale Anbindung an SINEMA Remote Connect ermöglichen. Der SCALANCE S615 zeichnet sich unter anderem durch folgende Funktionen aus: Unterstützung von VPN zur sicheren Authentifizierung der Netzteilnehmer, zur Verschlüsselung der Daten und Überprüfung der Datenintegrität. IPsec-VPN-Tunnel (Server- und Client-Funktionalität) OpenVPN zur Anbindung an SINEMA Remote Connect (Client-Funktion) Hochwertige Stateful Inspection Firewall mit Filterung von IP-basiertem Datenverkehr und Kommunikationsprotokollen. Unterstützung von NAT/NAPT; auch in Verbindung mit IPsec und OpenVPN. Unterstützung von VLAN. Flexibler, rückwirkungsfreier und protokollunabhängiger Schutz. Unterstützung von mehreren VPN-Tunneln gleichzeitig. Einfachste Anbindung an SINEMA Remote Connect via Auto-Konfigurations- Schnittstelle (freischaltbar mit dem KEY-PLUG SINEMA REMOTE CONNECT). SINEMA Remote Connect Client Der SINEMA Remote Connect Client ist eine Open-Software zur optimalen Anbindung von Programmiergeräten, PCs und Notebooks an den SINEMA Remote Connect Server. Er zeichnet sich durch folgende Eigenschaften aus: Unterstützung von VPN (OpenVPN) zur sicheren Authentifizierung der Netzteilnehmer, zur Verschlüsselung der Daten und Überprüfung der Datenintegrität. Einfachste Anbindung an SINEMA Remote Connect via Auto-Konfigurations- Schnittstelle. Telefonbuch mit allen einem Nutzer zugeordneten Geräten. Proxy-Server zur Kommunikation mit Netzen hinter einer Proxy-Server Infrastruktur. Unterstützung von HTTPS und SOCKS Proxy Server. Selektion eines Gerätes zur Durchführung von Teleservice im SIMATIC Umfeld. Beitrags-ID: , V2.1, 06/

12 Siemens AG 2017 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio SCALANCE S612 und S62x Die Security Module der SCALANCE S-Familie sind speziell für den Einsatz in der Automatisierungstechnik vorgesehen, schließen dabei aber nahtlos an die Security-Strukturen der Office- und IT-Welt an. Die Baugruppen SCALANCE S612, SCALANCE S623 und SCALANCE S627-2M bieten zusätzlich die folgenden Eigenschaften: Schutz mehrerer Geräte gleichzeitig durch IPsec-Tunnel (Es werden bis zu 128 VPN-Tunnel parallel unterstützt). Automatischer Bezug von IP-Adressen vom Provider via PPPoE; der Einsatz eines separaten DSL-s kann somit entfallen, ein DSL-Modem kann stattdessen verwendet werden. Verwendung von DNS bei VPN-Tunnel über öffentliche dynamische IP- Adressen vom Provider. Benutzerspezifische IP-Firewall zur Unterscheidung und Differenzierung der Zugriffe auf bestimmte Anlagenteile. Hinweis Die technischen Daten der SCALANCE S Baugruppen finden Sie unter dem Link \4\ SOFTNET Security Client Der SOFTNET Security Client ermöglicht Programmiergeräten, PCs und Notebooks den Zugriff auf durch SCALANCE S, SCALANCE M oder CPs geschützte Netzwerkteilnehmer bzw. Automatisierungssysteme. Er zeichnet sich durch folgende Eigenschaften aus: Sicherer Zugriff von Programmiergeräten oder Notebooks auf komplette Automatisierungszellen. Einfacher Einsatz auf mobilen PCs. Nicht-sichere Geräte können in den sicheren Datenverkehr eingebunden werden. Unterstützung der DNS-Client-Funktion SCALANCE M-800 SCALANCE M874 Die SCALANCE M874-3 (HSPA+- ) und SCALANCE M874-2 (GPRS/EDGE-) sind für das Mobilfunknetz geeignet. Diese Baugruppen zeichnen sich durch folgende Eigenschaften aus: Schutz mehrerer Geräte gleichzeitig durch IPsec-Tunnel (Es werden bis zu 10 VPN-Tunnel parallel unterstützt). Breiter Einsatzbereich; überall dort einsetzbar, wo ein GPRS/UMTS-Netz verfügbar ist. Anschluss von ortsfesten Stationen und/ oder mobilen Teilnehmern. Einfachheit bei der Verbindung von lokalen Netzen mittels IP-Kommunikation über WAN. Beitrags-ID: , V2.1, 06/

13 Siemens AG 2017 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio Benutzerspezifische IP-Firewall zur Unterscheidung und Differenzierung der Zugriffe auf bestimmte Anlagenteile. Hinweis Die technischen Daten der SCALANCE M874 Baugruppen finden Sie unter dem Link \5\. SCALANCE M810 Die SCALANCE M812-1 und SCALANCE M816-1 sind DSL- für die kostengünstige und sichere Anbindung von Ethernet-basierten Subnetzen und Automatisierungsgeräten an kabelgebundene Telefon- bzw. DSL-Netze. Sie unterstützen ADSL2+ (Asynchronous Digital Subscriber Line). Diese Baugruppen zeichnen sich durch folgende Eigenschaften aus: Schutz mehrerer Geräte gleichzeitig durch IPsec-Tunnel (Es werden bis zu 20 VPN-Tunnel parallel unterstützt). VPN- und DSL- in einem Gerät; somit entfällt der Einsatz eines separaten DSL-s. Breiter Einsatzbereich durch hohe Bandbreite, Performance und Geschwindigkeit. Reduzierung von Reise- und Personalkosten durch Fernprogrammierung und Ferndiagnose über drahtgebundene Telefon- bzw. DSL-Netze. Benutzerspezifische IP-Firewall zur Unterscheidung und Differenzierung der Zugriffe auf bestimmte Anlagenteile. Hinweis Die technischen Daten der SCALANCE M81x-1 Baugruppen finden Sie unter dem Link \6\. Beitrags-ID: , V2.1, 06/

14 Siemens AG 2017 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio CP x43-1 Advanced Der CP Advanced und der CP Advanced sind Kommunikationsprozessoren für den Anschluss von SIMATIC S7 CPUs an PROFINET / Industrial Ethernet Netzwerke. Sie bilden für die SIMATIC S7-300 bzw. S7-400 die Brücke zwischen Feldebene und Leitebene und schließen nahtlos an die Security-Strukturen der Office- und IT- Welt an. Diese Baugruppen zeichnen sich durch folgende Eigenschaften aus: Firewall, VPN-Gateway und Kommunikationsprozessor in einem Gerät Schutz von S7-300 bzw. S7-400 Steuerungen und deren unterlagerten Netzwerken durch IPsec-Tunnel (Es werden bis zu 32 VPN-Tunnel gleichzeitig unterstützt). Hinweis Die technischen Daten des CP Advanced finden Sie unter dem Link \7\. Hinweis Die technischen Daten des CP Advanced finden Sie unter dem Link \8\ CP 1x43-x Der Kommunikationsprozessor CP 1243-x verbindet die Steuerung SIMATIC S sicher mit Ethernet-Netzwerken. Der Kommunikationsprozessor CP verbindet die Steuerung SIMATIC S sicher mit Ethernet-Netzwerken. Diese Baugruppen zeichnen sich durch folgende Eigenschaften aus: Firewall, VPN-Gateway und Kommunikationsprozessor in einem Gerät Schutz von S bzw. S Steuerungen und deren unterlagerten Netzwerken durch IPsec-Tunnel (Es werden bis zu 16 VPN-Tunnel parallel unterstützt). Hinweis Die technischen Daten des CP 1243-x finden Sie unter dem Link \13\. Hinweis Die technischen Daten des CP finden Sie unter dem Link \14\ Beitrags-ID: , V2.1, 06/

15 Siemens AG 2017 All rights reserved 2 Einführung in Remote Networks 2.2 Security Integrated-Produktportfolio CP 1628 Der CP 1628 ist eine Kommunikationsbaugruppe für den sicheren Anschluss von PG/PC an. Mit einem eigenem Prozessor für Automatisierungs- /Sicherheitsaufgaben entlastet der CP 1628 den Host-PC und stellt eine konstante, stabile und sichere Datenkommunikation zur Verfügung. Diese Baugruppe zeichnet sich durch folgende Eigenschaften aus: Firewall, VPN-Gateway und Kommunikationsprozessor in einem Gerät. Schutz mehrerer Geräte gleichzeitig durch IPsec-Tunnel (Es werden bis zu 64 VPN-Tunnel parallel unterstützt). Hinweis Die technischen Daten des CP1628 finden Sie unter dem Link \9\ TS Adapter IE Advanced Der TS Adapter IE Advanced ermöglicht in Verbindung mit TIA Portal (ab V12 SP1) den Zugriff über das auf alle Automatisierungskomponenten (z. B. S7- Steuerungen), die auf der Anlage am angeschlossen sind. Diese Baugruppe zeichnet sich durch folgende Eigenschaften aus: Neben dem TIA Portal wird keine weitere Software oder Hardware zum VPN- Verbindungsaufbau () benötigt. 1 Schutz von S7- Steuerungen und deren unterlagerten Netzwerken durch SSTP- Tunnel. Hinweis Die technischen Daten des TS Adapter IE Advanced finden Sie unter dem Link \ LOGO! Die LOGO! ist ein intelligentes Logikmodul und eignet sich ideal für die Realisierung einfacher Automatisierungsaufgaben in Industrie und Gebäudetechnik. Durch den Einsatz von Erweiterungsmodulen kann die LOGO! selbst komplexe Anlagen problemlos steuern. Mit dem LOGO! CMR in Kombination mit den LOGO! 8 Basismodulen (BM) können Sie dezentrale Anlagen und Systeme über SMS überwachen und steuern. Sie können über eine gesicherte Mobilfunk-Verbindung auf die Web-Oberfläche des LOGO! CMR und des LOGO! BM aus der Ferne zugreifen. Mit dem Remote Access können Sie z. B. das Programm der LOGO! BM auch aus der Ferne aufspielen. Hinweis Die technischen Daten der LOGO! finden Sie unter dem Link \ Anschluss und ein DSL-Modem sind für den Zugriff ins benötigt. Beitrags-ID: , V2.1, 06/

16 Siemens AG 2017 All rights reserved 3 SCALANCE S 3 SCALANCE S In diesem Kapitel werden die Konfigurationen beschrieben, bei denen der SCALANCE S als konfiguriert ist. Diese Gruppe ist mit gelber Farbe gekennzeichnet. Tabelle 3-1 Zugriffsart SCALANCE S VPN-Gegenstelle IP-.Adresse Merkmale Der SCALANCE S kann sich entweder hinter einem DSL- oder einem DSL-Modem befinden. Es kann eine statische oder eine dynamische öffentliche IP-Adresse für den DSL- /Modem auf der -Seite benutzt werden. Es können bis zu 128 VPN-Tunnel parallel aufgebaut werden; somit können mehrere gesicherte Verbindungen parallel und voneinander unabhängig ablaufen. Ein Servicemitarbeiter oder Anlage auf -Seite kann den VPN-Tunnel nur im Bedarfsfall aufbauen; eine permanent bestehende Tunnelverbindung ist nicht notwendig. Durch die Routing-Funktion werden die Netze an der internen und externen Schnittstelle zu separaten Subnetzen. Beitrags-ID: , V2.1, 06/

17 Siemens AG 2017 All rights reserved 3 SCALANCE S 3.1 VPN-Tunnel zwischen SCALANCE S () und SCALANCE S über eine statische IP-Adresse 3.1 VPN-Tunnel zwischen SCALANCE S () und SCALANCE S über eine statische IP- Adresse Abbildung 3-1 Service PC Automatisierungszelle SCALANCE S SCALANCE S Modem/ VPN tunnel SIMATIC S7 Stationen Tabelle 3-2 Zugriffsart SCALANCE S SCALANCE S IP-Adresse öffentliche IP-Adresse für den - des s - mit Port-Forwarding-Funktionalität (-seitig) Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig) Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

18 Siemens AG 2017 All rights reserved 3 SCALANCE S 3.2 VPN-Tunnel zwischen SCALANCE S () und SCALANCE M81x-1 über eine statische IP-Adresse 3.2 VPN-Tunnel zwischen SCALANCE S () und SCALANCE M81x-1 über eine statische IP-Adresse Abbildung 3-2 Service PC SCALANCE S SCALANCE M81x-1 Automatisierungszelle VPN tunnel SIMATIC S7 Stationen Tabelle 3-3 Zugriffsart SCALANCE S SCALANCE M81x-1 IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

19 Siemens AG 2017 All rights reserved 3 SCALANCE S 3.3 VPN-Tunnel zwischen SCALANCE S () und SOFTNET Security Client über eine statische IP-Adresse 3.3 VPN-Tunnel zwischen SCALANCE S () und SOFTNET Security Client über eine statische IP-Adresse Abbildung 3-3 Service PC mit SOFTNET Security Client SSC Modem/ SCALANCE S Automatisierungszelle VPN tunnel SIMATIC S7 Stationen Tabelle 3-4 Zugriffsart SCALANCE S SOFTNET Security Client IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

20 Siemens AG 2017 All rights reserved 3 SCALANCE S 3.4 VPN-Tunnel zwischen SCALANCE S () und CP x43-1 Advanced über eine statische IP-Adresse 3.4 VPN-Tunnel zwischen SCALANCE S () und CP x43-1 Advanced über eine statische IP-Adresse Abbildung 3-4 Service PC Automatisierungszelle SCALANCE S Modem/ SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel Tabelle 3-5 Zugriffsart SCALANCE S CP x43-1 Advanced IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

21 Siemens AG 2017 All rights reserved 3 SCALANCE S 3.5 VPN-Tunnel zwischen SCALANCE S () und SCALANCE M874-x über eine statische IP-Adresse 3.5 VPN-Tunnel zwischen SCALANCE S () und SCALANCE M874-x über eine statische IP-Adresse Abbildung 3-5 Service PC SCALANCE S SCALANCE M874-x Automatisierungszelle VPN tunnel SIMATIC S7 Stationen Tabelle 3-6 Zugriffsart SCALANCE S SCALANCE M874-x IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

22 Siemens AG 2017 All rights reserved 3 SCALANCE S 3.6 VPN-Tunnel zwischen SCALANCE S () und einem Mobile-Client über eine statische IP-Adresse 3.6 VPN-Tunnel zwischen SCALANCE S () und einem Mobile-Client über eine statische IP-Adresse Abbildung 3-6 Smartphone mit IPSec Client App SCALANCE S Automatisierungszelle VPN tunnel SIMATIC S7 Stationen Tabelle 3-7 Zugriffsart SCALANCE S Mobile-Client IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Smartphone mit IPsec Client App und Android-Betriebssystem (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

23 Siemens AG 2017 All rights reserved 4 SCALANCE M-800/ S615 4 SCALANCE M-800/ S615 In diesem Kapitel werden die Konfigurationen beschrieben, bei denen der SCALANCE M-800 bzw. S615 als konfiguriert ist. Diese Gruppe ist mit hellroter Farbe gekennzeichnet. Tabelle 4-1 Zugriffsart SCALANCE M-800 SCALANCE S615 VPN-Gegenstelle IP-.Adresse Merkmale Die Anlage mit SCALANCE M-800/ S615 als kann sowohl ortsfest als auch mobil sein. Es kann eine statische oder eine dynamische öffentliche IP-Adresse für den SCALANCE M-800/ S615 verwendet werden. Es können mehrere VPN-Tunnel parallel aufgebaut werden; somit können mehrere gesicherte Verbindungen parallel und voneinander unabhängig ablaufen. Ein Servicemitarbeiter oder Anlage auf -Seite kann den VPN-Tunnel nur im Bedarfsfall aufbauen; eine permanent bestehende Tunnelverbindung ist nicht notwendig. Beitrags-ID: , V2.1, 06/

24 Siemens AG 2017 All rights reserved 4 SCALANCE M-800/ S VPN-Tunnel zwischen SCALANCE M81x-1 () und SCALANCE M81x-1 über eine statische IP-Adresse 4.1 VPN-Tunnel zwischen SCALANCE M81x-1 () und SCALANCE M81x-1 über eine statische IP-Adresse Abbildung 4-1 Service PC SCALANCE M81x-1 SCALANCE M81x-1 Automatisierungszelle VPN tunnel SIMATIC S7 Stationen Tabelle 4-2 Zugriffsart SCALANCE M81x-1 SCALANCE M81x-1 IP-Adresse öffentliche IP-Adresse für den SCALANCE M81x-1 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

25 Siemens AG 2017 All rights reserved 4 SCALANCE M-800/ S VPN-Tunnel zwischen SCALANCE S615 () und SOFTNET Security Client über eine statische IP-Adresse 4.2 VPN-Tunnel zwischen SCALANCE S615 () und SOFTNET Security Client über eine statische IP-Adresse Abbildung 4-2 Service PC mit SOFTNET Security Client SSC Modem/ S615 Automatisierungszelle VPN tunnel SIMATIC S7 Stationen Tabelle 4-3 Zugriffsart SCALANCE S615 SOFTNET Security Client IP-Adresse öffentliche IP-Adresse für den - des s - mit Port-Forwarding-Funktionalität (-seitig) Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

26 Siemens AG 2017 All rights reserved 4 SCALANCE M-800/ S VPN-Tunnel zwischen SCALANCE M874-x () und CP x43-1 Advanced über eine statische IP-Adresse 4.3 VPN-Tunnel zwischen SCALANCE M874-x () und CP x43-1 Advanced über eine statische IP-Adresse Abbildung 4-3 Service PC SCALANCE M874-x Modem/ Automatisierungszelle SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel Tabelle 4-4 Zugriffsart SCALANCE M874-x CP x43-1 Advanced IP-Adresse öffentliche IP-Adresse vom Mobilfunkbetreiber, welche auch aus dem erreichbar (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V2.1, 06/

27 Siemens AG 2017 All rights reserved 4 SCALANCE M-800/ S VPN-Tunnel zwischen SCALANCE M874-x () und CP 1x43-1 über eine statische IP-Adresse 4.4 VPN-Tunnel zwischen SCALANCE M874-x () und CP 1x43-1 über eine statische IP-Adresse Abbildung 4-4 Service PC SCALANCE M874-x Modem/ Automatisierungszelle SIMATIC S oder S mit CP 1x43-1 VPN tunnel Tabelle 4-5 Zugriffsart SCALANCE M874-x CP 1x43-1 IP-Adresse öffentliche IP-Adresse vom Mobilfunkbetreiber, welche auch aus dem erreichbar (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: In Bearbeitung Beitrags-ID: , V2.1, 06/

28 Siemens AG 2017 All rights reserved 4 SCALANCE M-800/ S VPN-Tunnel zwischen SCALANCE M874-x () und SCALANCE M874-x über eine statische IP-Adresse 4.5 VPN-Tunnel zwischen SCALANCE M874-x () und SCALANCE M874-x über eine statische IP-Adresse Abbildung 4-5 Service PC SCALANCE M874-x SCALANCE M874-x Automatisierungszelle VPN tunnel SIMATIC S7 Stationen Tabelle 4-6 Zugriffsart SCALANCE M874-x SCALANCE M874-x IP-Adresse öffentliche IP-Adresse vom Mobilfunkbetreiber, welche auch aus dem erreichbar (-seitig). Mobil-Mobil Kommunikation (Mobilfunkbetreiberabhängig). Beitrags-ID: , V2.1, 06/

29 Siemens AG 2017 All rights reserved 4 SCALANCE M-800/ S VPN-Tunnel zwischen SCALANCE M874-x () und einem Mobile-Client über eine statische IP-Adresse 4.6 VPN-Tunnel zwischen SCALANCE M874-x () und einem Mobile-Client über eine statische IP-Adresse Abbildung 4-6 Smartphone mit IPSec Client App SCALANCE M874-x Automatisierungszelle VPN tunnel SIMATIC S7 Stationen Tabelle 4-7 Zugriffsart SCALANCE M874-x Mobile-Client IP-Adresse öffentliche IP-Adresse vom Mobilfunkbetreiber, welche auch aus dem erreichbar (-seitig). Mobil-Mobil Kommunikation (Mobilfunkbetreiberabhängig). Smartphone mit IPsec Client App und Android-Betriebssystem (-seitig). Beitrags-ID: , V2.1, 06/

30 Siemens AG 2017 All rights reserved 5 SINEMA Remote Connect 5 SINEMA Remote Connect In diesem Kapitel werden die Konfigurationen beschrieben, bei denen der SINEMA Remote Connect als konfiguriert ist. Diese Gruppe ist mit hellblauer Farbe gekennzeichnet. Tabelle 5-1 Zugriffsart SINEMA Remote Connect VPN-Gegenstelle IP-.Adresse Merkmale Als kann entweder ein PC mit dem SINEMA Remote Connect Client oder ein Smartphone/ Tablet mit einer OpenVPN.Client -App benutzt werden. Ein Servicemitarbeiter oder Anlage auf -Seite kann den VPN-Tunnel nur im Bedarfsfall aufbauen; eine permanent bestehende Tunnelverbindung ist nicht notwendig. Beitrags-ID: , V2.1, 06/

31 Siemens AG 2017 All rights reserved 5 SINEMA Remote Connect 5.1 VPN-Tunnel zwischen SINEMA Remote Connect Server und einem Tablet (ios) Abbildung 5-1 Zentrale Servicetechniker mit mobilem Endgerät SINEMA Remote Connect Server WAN VPN Tunnel Tabelle 5-2 Zugriffsart SINEMA Remote Connect Tablet (ios) mit Open -App IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Tablet mit Open -App und ios-betriebssystem (-seitig). Standard - mit WLAN-Funktionalität (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

32 Siemens AG 2017 All rights reserved 5 SINEMA Remote Connect 5.2 VPN-Tunnel zwischen SINEMA RC Server und einem Smartphone (Android) Abbildung 5-2 VPN Tunnel Zentrale SINEMA Remote Connect Server WAN Servicetechniker mit mobilem Endgerät Tabelle 5-3 Zugriffsart SINEMA Remote Connect Smartphone (Android) mit Open -App IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Smartphone mit Open -App und Android-Betriebssystem (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

33 Siemens AG 2017 All rights reserved 5 SINEMA Remote Connect 5.3 VPN-Tunnel zwischen SCALANCE S615 und SINEMA RC Client über den SINEMA RC Server Abbildung 5-3 SINEMA Remote Connect Server Zentrale S615 Automatisierungszelle WAN Servicetechniker VPN Tunnel Tabelle 5-4 s Zugriffsart SINEMA Remote Connect SCALANCE S615, SINEMA Remote Connect-Client IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

34 Siemens AG 2017 All rights reserved 5 SINEMA Remote Connect 5.4 VPN-Tunnel zwischen SCALANCE S615 und einem Tablet (ios) über den SINEMA RC Server Abbildung 5-4 Zentrale SINEMA Remote Connect Server S615 Automatisierungszelle WAN Servicetechniker VPN Tunnel Tabelle 5-5 s Zugriffsart SINEMA Remote Connect SCALANCE S615, Tablet (ios) mit Open -App IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Tablet mit Open -App und ios-betriebssystem (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

35 Siemens AG 2017 All rights reserved 5 SINEMA Remote Connect 5.5 VPN-Tunnel zwischen SCALANCE S615 und einem Smartphone (Android) über den SINEMA RC Server Abbildung 5-5 Zentrale SINEMA Remote Connect Server WAN Servicetechniker S615 Automatisierungszelle VPN Tunnel Tabelle 5-6 s Zugriffsart SINEMA Remote Connect SCALANCE S615, Smartphone (Android) mit Open -App IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Smartphone mit Open -App und Android-Betriebssystem (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

36 Siemens AG 2017 All rights reserved 5 SINEMA Remote Connect 5.6 VPN-Tunnel zwischen zwei identischen Anlagenteilen mit S615 und SINEMA RC Client über den SINEMA RC Server durch Verwendung der NAT-Funktion Abbildung 5-6 Service VPN client S615 Cell 1 WAN Central SINEMA Remote Connect Server VPN client VPN server S615 Cell 2 VPN tunnel VPN client Beitrags-ID: , V2.1, 06/

37 Siemens AG 2017 All rights reserved 5 SINEMA Remote Connect Tabelle 5-7 s Zugriffsart SINEMA Remote Connect SCALANCE S615, SINEMA Remote Connect-Client IP-Adresse öffentliche IP-Adresse sowie Portforwarding-Funktion für den - des s. Identisches IP-Adress-Band in den Anlagenteilen Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

38 Siemens AG 2017 All rights reserved 5 SINEMA Remote Connect 5.7 JumpHost Applikation mit SINEMA RC Server Abbildung 5-7 Servicetechniker WAN Datencenter/ DMZ SINEMA RC Server JumpHost Virtual Desktop S615 Anlagennetzwerk VPN Tunnel Unternehmensnetzwerk Beitrags-ID: , V2.1, 06/

39 Siemens AG 2017 All rights reserved 5 SINEMA Remote Connect Tabelle 5-8 s Zugriffsart SINEMA Remote Connect SCALANCE S615, SINEMA Remote Connect-Client IP-Adresse öffentliche IP-Adresse sowie Portforwarding-Funktion für den - des s. DMZ mit SINEMA Remote Connect Server und JumpHost Virtual Desktop Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

40 Siemens AG 2017 All rights reserved 6 CP x43-1 Advanced 6 CP x43-1 Advanced In diesem Kapitel werden die Konfigurationen beschrieben, bei denen der CP x43-1 Advanced als konfiguriert ist. Diese Gruppe ist mit dunkelblauer Farbe gekennzeichnet. Tabelle 6-1 Zugriffsart CP x43-1 Advanced VPN-Gegenstelle IP-.Adresse Merkmale Die Firewall-, - und Kommunikationseinstellungen finden direkt im CP x43-1 Advanced statt; die Security-Funktionen sind im Kommunikationsprozessor integriert. Es kann eine statische oder eine dynamische öffentliche IP-Adresse für den DSL- auf der -Seite benutzt werden. Beitrags-ID: , V2.1, 06/

41 Siemens AG 2017 All rights reserved 6 CP x43-1 Advanced 6.1 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE S über eine statische IP-Adresse 6.1 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE S über eine statische IP-Adresse Abbildung 6-1 Service PC Automatisierungszelle SCALANCE S Modem/ SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel Tabelle 6-2 Zugriffsart CP x43-1 Advanced SCALANCE S IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

42 Siemens AG 2017 All rights reserved 6 CP x43-1 Advanced 6.2 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M81x-1 über eine statische IP-Adresse 6.2 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M81x-1 über eine statische IP-Adresse Abbildung 6-2 Service PC SCALANCE M81x-1 Automatisierungszelle SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel Tabelle 6-3 Zugriffsart CP x43-1 Advanced SCALANCE M874-x IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

43 Siemens AG 2017 All rights reserved 6 CP x43-1 Advanced 6.3 VPN-Tunnel zwischen CP x43-1 Advanced () und SOFTNET Security Client über eine statische IP-Adresse 6.3 VPN-Tunnel zwischen CP x43-1 Advanced () und SOFTNET Security Client über eine statische IP-Adresse Abbildung 6-3 Service PC mit SOFTNET Security Client SSC Modem/ Automatisierungszelle SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel Tabelle 6-4 Zugriffsart CP x43-1 Advanced SOFTNET Security Client IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

44 Siemens AG 2017 All rights reserved 6 CP x43-1 Advanced 6.4 VPN-Tunnel zwischen CP x43-1 Advanced () und CP x43-1 Advanced über eine statische IP-Adresse 6.4 VPN-Tunnel zwischen CP x43-1 Advanced () und CP x43-1 Advanced über eine statische IP-Adresse Abbildung 6-4 Automatisierungszelle A Automatisierungszelle B SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced Modem/ SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel Tabelle 6-5 Zugriffsart CP x43-1 Advanced CP x43-1 Advanced IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

45 Siemens AG 2017 All rights reserved 6 CP x43-1 Advanced 6.5 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M874-x über eine statische IP-Adresse 6.5 VPN-Tunnel zwischen CP x43-1 Advanced () und SCALANCE M874-x über eine statische IP-Adresse Abbildung 6-5 Service PC SCALANCE M874-x Automatisierungszelle SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel Tabelle 6-6 Zugriffsart CP x43-1 Advanced SCALANCE M874-x IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

46 Siemens AG 2017 All rights reserved 6 CP x43-1 Advanced 6.6 VPN-Tunnel zwischen CP x43-1 Advanced () und einem Mobile-Client über eine statische IP-Adresse 6.6 VPN-Tunnel zwischen CP x43-1 Advanced () und einem Mobile-Client über eine statische IP-Adresse Abbildung 6-6 Smartphone mit IPSec Client App VPN tunnel Automatisierungszelle SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced Tabelle 6-7 Zugriffsart CP x43-1 Advanced Mobile-Client IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Smartphone mit IPsec Client App mit Android-Betriebssystem (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

47 Siemens AG 2017 All rights reserved 7 CP 1x43-x 7 CP 1x43-x In diesem Kapitel werden die Konfigurationen beschrieben, bei denen der CP 1x43-x als konfiguriert ist. Diese Gruppe ist mit grauer Farbe gekennzeichnet. Tabelle 7-1 Zugriffsart CP 1x43-x VPN-Gegenstelle IP-.Adresse Merkmale Die Firewall-, - und Kommunikationseinstellungen finden direkt im CP 1x43-x statt; die Security-Funktionen sind im Kommunikationsprozessor integriert. Es kann eine statische oder eine dynamische öffentliche IP-Adresse für den DSL- auf der -Seite benutzt werden. Beitrags-ID: , V2.1, 06/

48 Siemens AG 2017 All rights reserved 7 CP 1x43-x 7.1 VPN-Tunnel zwischen CP 1x43-1 () und SCALANCE S über eine statische IP- Adresse Abbildung 7-1 Service PC Automatisierungszelle SCALANCE S Modem/ SIMATIC S oder S mit CP 1x43-1 VPN tunnel Tabelle 7-2 Zugriffsart CP 1x43-1 SCALANCE S IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V2.1, 06/

49 Siemens AG 2017 All rights reserved 7 CP 1x43-x 7.2 VPN-Tunnel zwischen CP 1x43-1 () und SCALANCE M81x-1 über eine statische IP-Adresse Abbildung 7-2 Service PC SCALANCE M81x-1 Automatisierungszelle SIMATIC S oder S mit CP 1x43-1 VPN tunnel Tabelle 7-3 Zugriffsart CP 1x43-1 SCALANCE M81x-1 IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Beitrags-ID: , V2.1, 06/

50 Siemens AG 2017 All rights reserved 7 CP 1x43-x 7.3 VPN-Tunnel zwischen CP 1x43-1 () und SOFTNET Security Client über eine statische IP-Adresse Abbildung 7-3 Service PC mit SOFTNET Security Client SSC Modem/ Automatisierungszelle SIMATIC S oder S mit CP 1x43-1 VPN tunnel Tabelle 7-4 Zugriffsart CP 1x43-1 SOFTNET Security Client IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

51 Siemens AG 2017 All rights reserved 7 CP 1x43-x 7.4 VPN-Tunnel zwischen CP 1x43-1 () und CP x43-1 Advanced über eine statische IP-Adresse Abbildung 7-4 Automatisierungszelle A Automatisierungszelle B SIMATIC S oder S mit CP 1x43-1 Modem/ SIMATIC S7-300 oder S7-400 mit CP x43-1 Advanced VPN tunnel Tabelle 7-5 Zugriffsart CP 1x43-1 CP x43-1 Advanced IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Beitrags-ID: , V2.1, 06/

52 Siemens AG 2017 All rights reserved 7 CP 1x43-x 7.5 VPN-Tunnel zwischen CP 1x43-1 () und CP 1x43-1 über eine statische IP-Adresse Abbildung 7-5 Automatisierungszelle A Automatisierungszelle B SIMATIC S oder S mit CP 1x43-1 Modem/ SIMATIC S oder S mit CP 1x43-1 VPN tunnel Tabelle 7-6 Zugriffsart CP 1x43-1 CP 1x43-1 IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

53 Siemens AG 2017 All rights reserved 7 CP 1x43-x 7.6 VPN-Tunnel zwischen CP 1x43-1 () und SCALANCE M874-x über eine statische IP-Adresse Abbildung 7-6 Service PC SCALANCE M874-x Automatisierungszelle SIMATIC S oder S mit CP 1x43-1 VPN tunnel Tabelle 7-7 Zugriffsart CP 1x43-1 SCALANCE M874-x IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Beitrags-ID: , V2.1, 06/

54 Siemens AG 2017 All rights reserved 7 CP 1x43-x 7.7 VPN-Tunnel zwischen CP 1x43-1 () und einem Mobile-Client über eine statische IP-Adresse Abbildung 7-7 Smartphone mit IPSec Client App VPN tunnel Automatisierungszelle SIMATIC S oder S mit CP 1x43-1 Tabelle 7-8 Zugriffsart CP 1x43-1 Mobile-Client IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard-APN des Mobilfunkbetreibers (-seitig). Smartphone mit IPsec Client App mit Android-Betriebssystem (-seitig). Beitrags-ID: , V2.1, 06/

55 Siemens AG 2017 All rights reserved 8 TS Adapter IE Advanced/ LOGO! 8 TS Adapter IE Advanced/ LOGO! In diesem Kapitel werden die Konfigurationen beschrieben, bei denen der TS Adapter IE Advanced und LOGO! als konfiguriert ist. Diese Gruppe ist mit dunkelgelber Farbe gekennzeichnet. Tabelle 8-1 Zugriffsart TS Adapter IE Advanced/ LOGO! VPN-Gegenstelle IP-.Adresse Merkmale Neben einem PC wird keine weitere Hardware zum VPN-Verbindungsaufbau benötigt. Beim Einsatz des TS Adapters kann als entweder das TIA-Portal oder der Windows SSTP-Client benutzt werden. Beim Einsatz der LOGO! muss der Open folgende Punkte unterstützen: OpenVPN V oder höher Das Pre-Shared Key-Verfahren. Beitrags-ID: , V2.1, 06/

56 Siemens AG 2017 All rights reserved 8 TS Adapter IE Advanced/ LOGO! 8.1 VPN-Tunnel zwischen TS Adapter IE Advanced () und Windows SSTP-Client über eine statische IP-Adresse 8.1 VPN-Tunnel zwischen TS Adapter IE Advanced () und Windows SSTP-Client über eine statische IP-Adresse Abbildung 8-1 Service Service PC PC Modem/ Modem/ SCALANCE TS Adapter M874-x IE Advanced Automatisierungszelle VPN tunnel SIMATIC S7 Stationen Tabelle 8-2 Zugriffsart TS Adapter IE Advanced Windows SSTP-Client IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Windows 7 oder Windows Server 2008 oder höher. Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

57 Siemens AG 2017 All rights reserved 8 TS Adapter IE Advanced/ LOGO! 8.2 VPN-Tunnel zwischen TS Adapter IE Advanced () und TIA Portal über eine statische IP-Adresse 8.2 VPN-Tunnel zwischen TS Adapter IE Advanced () und TIA Portal über eine statische IP-Adresse Abbildung 8-2 Service PC TIA Portal Modem/ TS Adapter IE Advanced Automatisierungszelle VPN tunnel SIMATIC S7 Stationen Tabelle 8-3 Zugriffsart TS Adapter IE Advanced TIA Portal IP-Adresse öffentliche IP-Adresse für den - des s. - mit Port-Forwarding-Funktionalität (-seitig). Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). TIA Portal ab V12 SP1. Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/

58 Siemens AG 2017 All rights reserved 8 TS Adapter IE Advanced/ LOGO! 8.3 VPN-Tunnel zwischen LOGO! () und einem PC über eine statische IP-Adresse 8.3 VPN-Tunnel zwischen LOGO! () und einem PC über eine statische IP-Adresse Abbildung 8-3 Service-PC WAN LOGO! CMR mit LOGO! BM VPN Tunnel Table 8-4 Zugriffsart LOGO! CMR OpenVPN client IP-Adresse öffentliche IP-Adresse für die SIM-Karte des s. Standard -Modem, oder UMTS- z. B. SCALANCE M873 (-seitig). Link zur Konfigurationsbeschreibung: Beitrags-ID: , V2.1, 06/