Diagnose und Fernwartung von SIMATIC Industrie PCs

Transkript

1 Anwendungsbeispiel 06/2016 Diagnose und Fernwartung von SIMATIC Industrie PCs SIMATIC IPC mit Intel AMT

2 Gewährleistung und Haftung Gewährleistung und Haftung Hinweis Die Anwendungsbeispiele sind unverbindlich und erheben keinen Anspruch auf Vollständigkeit hinsichtlich Konfiguration und Ausstattung sowie jeglicher Eventualitäten. Die Anwendungsbeispiele stellen keine kundenspezifischen Lösungen dar, sondern sollen lediglich Hilfestellung bieten bei typischen Aufgabenstellungen. Sie sind für den sachgemäßen Betrieb der beschriebenen Produkte selbst verantwortlich. Diese Anwendungsbeispiele entheben Sie nicht der Verpflichtung zu sicherem Umgang bei Anwendung, Installation, Betrieb und Wartung. Durch Nutzung dieser Anwendungsbeispiele erkennen Sie an, dass wir über die beschriebene Haftungsregelung hinaus nicht für etwaige Schäden haftbar gemacht werden können. Wir behalten uns das Recht vor, Änderungen an diesen Anwendungsbeispiele jederzeit ohne Ankündigung durchzuführen. Bei Abweichungen zwischen den Vorschlägen in diesem Anwendungsbeispiel und anderen Siemens Publikationen, wie z. B. Katalogen, hat der Inhalt der anderen Dokumentation Vorrang. Für die in diesem Dokument enthaltenen Informationen übernehmen wir keine Gewähr. Unsere Haftung, gleich aus welchem Rechtsgrund, für durch die Verwendung der in diesem Applikationsbeispiel beschriebenen Beispiele, Hinweise, Programme, Projektierungs- und Leistungsdaten usw. verursachte Schäden ist ausgeschlossen, soweit nicht z. B. nach dem Produkthaftungsgesetz in Fällen des Vorsatzes, der groben Fahrlässigkeit, wegen der Verletzung des Lebens, des Körpers oder der Gesundheit, wegen einer Übernahme der Garantie für die Beschaffenheit einer Sache, wegen des arglistigen Verschweigens eines Mangels oder wegen Verletzung wesentlicher Vertragspflichten zwingend gehaftet wird. Der Schadensersatz wegen Verletzung wesentlicher Vertragspflichten ist jedoch auf den vertragstypischen, vorhersehbaren Schaden begrenzt, soweit nicht Vorsatz oder grobe Fahrlässigkeit vorliegt oder wegen der Verletzung des Lebens, des Körpers oder der Gesundheit zwingend gehaftet wird. Eine Änderung der Beweislast zu Ihrem Nachteil ist hiermit nicht verbunden. Weitergabe oder Vervielfältigung dieser Anwendungsbeispiele oder Auszüge daraus sind nicht gestattet, soweit nicht ausdrücklich von der Siemens AG zugestanden. Securityhinweise Siemens bietet Produkte und Lösungen mit Industrial Security-Funktionen an, die den sicheren Betrieb von Anlagen, Systemen, Maschinen und Netzwerken unterstützen. Um Anlagen, Systeme, Maschinen und Netzwerke gegen Cyber-Bedrohungen zu sichern, ist es erforderlich, ein ganzheitliches Industrial Security-Konzept zu implementieren (und kontinuierlich aufrechtzuerhalten), das dem aktuellen Stand der Technik entspricht. Die Produkte und Lösungen von Siemens formen nur einen Bestandteil eines solchen Konzepts. Der Kunde ist dafür verantwortlich, unbefugten Zugriff auf seine Anlagen, Systeme, Maschinen und Netzwerke zu verhindern. Systeme, Maschinen und Komponenten sollten nur mit dem Unternehmensnetzwerk oder dem Internet verbunden werden, wenn und soweit dies notwendig ist und entsprechende Schutzmaßnahmen (z.b. Nutzung von Firewalls und Netzwerksegmentierung) ergriffen wurden. Zusätzlich sollten die Empfehlungen von Siemens zu entsprechenden Schutzmaßnahmen beachtet werden. Weiterführende Informationen über Industrial Security finden Sie unter Die Produkte und Lösungen von Siemens werden ständig weiterentwickelt, um sie noch sicherer zu machen. Siemens empfiehlt ausdrücklich, Aktualisierungen durchzuführen, sobald die entsprechenden Updates zur Verfügung stehen und immer nur die aktuellen Produktversionen zu verwenden. Die Verwendung veralteter oder nicht mehr unterstützter Versionen kann das Risiko von Cyber-Bedrohungen erhöhen. Um stets über Produkt-Updates informiert zu sein, abonnieren Sie den Siemens Industrial Security RSS Feed unter Beitrags-ID: , V1.1, 06/2016 2

3 Inhaltsverzeichnis Inhaltsverzeichnis Gewährleistung und Haftung Aufgabe Übersicht Anforderungen Lösung Übersicht Gesamtlösung Beschreibung der Kernfunktionalität Hard- und Software-Komponenten Hardware Software Funktionsmechanismen Verbindung zwischen Management-PC und SIMATIC IPC SIMATIC IPC (entfernter IPC) Management-PC (lokaler PC) Mögliche Verbindungswege Direktverbindung Verbindung über das Internet mit Standard Router Verbindung über das Internet mit VPN (Virtual Private Network) Konfiguration des entfernten SIMATIC IPCs (BIOS/MEBx) Intel AMT auf Default-Werte zurücksetzen Intel AMT aktivieren (Grundkonfiguration) IP-Adresse manuell konfigurieren SIMATIC IPC Remote Manager Setup Optional: Konfiguration des DSL-Modems Transport Layer Security (TLS)-Konfiguration Entfernten SIMATIC IPC für TLS konfigurieren Entfernten SIMATIC IPC hinzufügen Zertifikat erstellen Profil erstellen Profil in die Management-Engine laden Zertifikate auf weiteren Management-PCs installieren - aus Director exportieren Zertifikate auf dem Management-PC installieren importieren Bedienung Unverschlüsselte Verbindungen Bedienung mit dem Viewer des SIMATIC IPC Remote Manager Bedienung mit dem WEB-GUI Verschlüsselte Verbindungen Bedienung mit dem Viewer des SIMATIC IPC Remote Manager Bedienung mit dem WEB-GUI Szenario 1 SIMATIC WinAC Szenario 2 Wiederherstellen eines SIMATIC IPC mit Hilfe eines ISO-Images Weitere Hinweise, Tipps und Tricks, etc Glossar Literaturhinweise Historie Beitrags-ID: , V1.1, 06/2016 3

4 1 Aufgabe 1.1 Übersicht 1 Aufgabe 1.1 Übersicht Überblick über die Automatisierungsaufgabe Folgendes Bild gibt einen Überblick über die Automatisierungsaufgabe. Abbildung 1-1? Management-PC Remote Access SIMATIC IPC Beschreibung der Automatisierungsaufgabe Mit der zunehmenden weltweiten Verteilung von Anlagen steigt der Bedarf, auf Automatisierungskomponenten, z.b. SIMATIC Industrie-PCs (IPCs) in entfernten Anlagen zuzugreifen. Damit der Fernzugriff effektiv genutzt werden kann, muss er auch bei ausgeschaltetem oder nicht mehr funktionierendem SIMATIC IPC möglich sein. Ein entfernter Bediener soll dabei dieselben Funktionen nutzen können, wie ein Bediener, der direkt vor dem SIMATIC IPC steht. Dadurch kann im Servicefall ein Einsatz vor Ort vermieden und somit Zeit und Kosten eingespart werden. 1.2 Anforderungen Verbindungswege Der Fernzugriff auf den SIMATIC IPC soll über verschiedene Verbindungswege möglich sein. Direkte Verbindung, z. B. im Firmennetzwerk Verbindung über das Internet Fernwartung möglich in jeder Situation Unabhängig vom Zustand des SIMATIC IPCs soll eine Fernwartung möglich sein. Das bedeutet, auch wenn der SIMATIC IPC nicht mehr reagiert oder ausgeschaltet ist, sollen alle notwendigen Bedienschritte möglich sein. Beitrags-ID: , V1.1, 06/2016 4

5 2 Lösung 2.1 Übersicht Gesamtlösung 2 Lösung 2.1 Übersicht Gesamtlösung Schema Die folgende Abbildung zeigt schematisch die wichtigsten Komponenten der Lösung: Abbildung 2-1 Field PG (Management-PC) Remote Access Simatic IPC Verschiedene Verbindungswege Lokale Verbindung, z. B. Im LAN (Firmennetz) Direkte Verbindung zum Management-PC Verbindung über das Internet Verbindung über Standard-Router Gesicherte Verbindung (VPN) Verschiedene Zustände Standby Boot-Vorgang Absturz mit Blue Screen Ändern von BIOS-Einstellungen Betriebssystem ist nicht erreichbar 2.2 Beschreibung der Kernfunktionalität Die SIMATIC IPCs der C-, D- und E-Generation unterstützen die Fernwartungsfunktion Intel Active Management Technology. Zur Fernwartung der SIMATIC IPCs wird die Intel AMT-Technologie eingesetzt. Sie ermöglicht das Fernwarten der SIMATIC IPCs, unabhängig vom Zustand des Systems. Dem fernwartenden Administrator werden damit alle Funktionen ermöglicht, wie sie auch ein sich direkt vor dem SIMATIC IPC befindender Bediener hätte. Dieses Beispiel zeigt Ihnen verschiedene Verbindungswege und verweist an entsprechender Stelle auf weitere Bespiele im Online Support. Intel Active Management Technology Active Management Technology (AMT) ist eine Intel Technologie zur Fernwartung von SIMATIC Industrie-PCs (IPCs) mit Intel AMT-Technologie über einen Management-PC. Ein Betriebssystem ist auf dem entfernten SIMATIC IPC nicht erforderlich. Intel AMT bietet eine Vielzahl von Funktionen, wie z. B.: Umleitung von Tastatur, Video und Maus (KVM - Keyboard Video Mouse) Mit dem in der Firmware integrierten KVM-Server ist jederzeit eine KVM- Verbindung möglich. KVM ermöglicht den Zugriff auf SIMATIC IPCs mit defektem oder keinem Betriebssystem, da der KVM-Server in der Intel AMT- Beitrags-ID: , V1.1, 06/2016 5

6 2 Lösung 2.3 Hard- und Software-Komponenten Hardware integriert ist. Mit KVM ist es möglich, SIMATIC IPCs neu zu booten und BIOS-Änderungen Rechner-fern vorzunehmen. Remote Powermanagement Der entfernte SIMATIC IPC kann über einen anderen PC ein- und ausgeschaltet und neu gestartet werden. Remote Reboot / IDE-Redirection Ein entfernter SIMATIC IPC kann von einer bootfähigen ISO-Datei, die sich auf dem Management-PC befindet, gebootet werden, indem diese als DVD- Laufwerk eingebunden wird. 2.3 Hard- und Software-Komponenten Hardware Die Nutzung von Intel AMT ist nur auf SIMATIC IPCs ab der C-Generation bzw. Field PGs ab M4 mit Core i5-, Core i7- und Xeon-Prozessoren möglich. Andere Prozessoren (z. B. Celeron, Core i3 oder Core2) unterstützen kein Intel AMT. Intel AMT kann nur über die Ethernet-Schnittstelle 82577LM / 82579LM / WGI217LM / I217LM genutzt werden. Hinweis Bei dem SIMATIC IPC547G ist Intel AMT nur mit dem Mainboard (C236 Chipset) möglich. Für diese Applikation wurde ein SIMATIC IPC677D (6AV7260-5GM40-0XX0) verwendet. Die Namen der Menüpunkte im BIOS-Setup und in der MEBx können bei Verwendung eines anderen Gerätes gegebenenfalls geringfügig abweichen Software Entfernter SIMATIC IPC Auf dem entfernten SIMATIC IPC ist keine zusätzliche Software notwendig. Management Station Tabelle 2-1 Komponente Anz. Artikelnummer Hinweis SIMATIC IPC Remote Manager (Einzellizenz) 1 6ES7648-6EA01-2YA0 Software zur Fernwartung von SIMATIC IPCs mit Intel AMT-Technologie Manageability Director 1 Intel-Internetseite: Direkt-Link \8\ Beitrags-ID: , V1.1, 06/2016 6

7 3 Funktionsmechanismen 3.1 Verbindung zwischen Management-PC und SIMATIC IPC 3 Funktionsmechanismen 3.1 Verbindung zwischen Management-PC und SIMATIC IPC Allgemein Prinzipiell baut der Management-PC mit der Software SIMATIC IPC Remote Manager eine Verbindung mit dem entfernten SIMATIC IPC auf. Abbildung 3-1 SIMATIC IPC Remote Manager Intel AMT Field PG (Management-PC) Verbindungsweg Simatic IPC Über diese Verbindung wird der Bildschirminhalt des SIMATIC IPCs am Management-PC dargestellt und die Tastatur- und Mauseingaben vom Management-PC an den SIMATIC IPC gesendet. Verschlüsselte/unverschlüsselte Verbindung Der SIMATIC IPC Remote Manager stellt unabhängig vom Verbindungsweg die Möglichkeit zur Verfügung eine verschlüsselte Verbindung zu verwenden. Hinweis Grundsätzlich wird empfohlen, immer eine verschlüsselte Verbindung aufzubauen, da der Anwender mit dem Aufbau der Remote-Verbindung die gleiche Kontrolle über den SIMATIC IPC erlangt, wie ein Anwender, welcher sich direkt am Gerät befindet. Beitrags-ID: , V1.1, 06/2016 7

8 3 Funktionsmechanismen 3.2 SIMATIC IPC (entfernter IPC) 3.2 SIMATIC IPC (entfernter IPC) Integration in Hardware Die Intel AMT-Technologie ist keine Software, sondern ist in der Hardware integriert. Abbildung 3-2 Video Mainboard I/O-Controller (Maus/Tastatur) Intel AMT Ethernet 82577LM Adressierung des SIMATIC IPC Der entfernte SIMATIC IPC muss im Netzwerk immer adressierbar sein, auch wenn dieser ausgeschaltet ist oder nicht mehr reagiert. Die im BIOS integrierte Intel AMT-Technologie bezieht über einen DHCP-Server eine IP-Adresse, auch wenn der SIMATIC IPC ausgeschaltet ist. Alternativ kann manuell eine IP-Adresse vergeben werden, wenn kein DHCP-Server verfügbar ist. Die Einstellungen müssen Sie im erweiterten BIOS-Menü Intel Management Engine vor einem Remotezugriff vornehmen. (Aufruf mit CTRL-P bzw. ESC > MEBx ) Hinweis Die zugewiesene IP-Adresse muss gleichbleibend sein (statische IP). Signalisierung der Remote-Anfrage/-Verbindung Wird zu einem entfernten SIMATIC IPC, welcher gerade von einem lokalen Anwender benutzt wird, eine Remoteverbindung aufgebaut, so sieht der lokale Anwender einen roten bzw. rot-gelben Rahmen auf seinem Bildschirm. Zusätzlich bietet der SIMATIC IPC Remote Manager die Möglichkeit, die Remote-Verbindung erst nach Eingabe eines definierten PIN-Codes zuzulassen. Hierbei erhält der lokale Anwender einen Hinweis mit einem temporär erzeugten PIN-Code und muss diesen dem entfernten Anwender auf geeignetem Wege kommunizieren (Telefon, etc.). Beitrags-ID: , V1.1, 06/2016 8

9 3 Funktionsmechanismen 3.3 Management-PC (lokaler PC) 3.3 Management-PC (lokaler PC) Bedienmöglichkeit Der SIMATIC IPC Remote Manager ermöglicht den Aufbau einer Remote- Verbindung zu einem SIMATIC IPC. Dabei ist die Software gleichzeitig Management Software und Bedienmöglichkeit für die entfernten SIMATIC IPCs. Der SIMATIC IPC Remote Manager stellt die Bedienmöglichkeit des entfernten SIMATIC IPC zur Verfügung. Dabei werden lokale Eingaben von Maus und Tastatur an den entfernten SIMATIC IPC übertragen. Hinweis Der größte Teil des dabei entstehenden Datenvolumens wird durch die übermittelten Videosignale erzeugt. Dadurch kann es bei langsamen Verbindungen (z. B. bei analog Modem oder GPRS-Mobilfunkverbindungen) zu verzögertem Bildaufbau kommen. Beitrags-ID: , V1.1, 06/2016 9

10 4.1 Mögliche Verbindungswege 4.1 Mögliche Verbindungswege Allgemein Im Folgenden werden mögliche Verbindungswege für das Fernwarten der SIMATIC IPCs mit Intel AMT genannt. Das grundsätzliche Konfigurieren des Management-PC ist unabhängig vom Verbindungsweg und wird daher am Beispiel einer Direktverbindung beschrieben. Auf zusätzliche Einstellungen wird an entsprechender Stelle verwiesen Direktverbindung Definition Die Direktverbindung bezeichnet an dieser Stelle den Verbindungsweg, wenn sich Management PC und SIMATIC IPC im gleichen Netzwerk befinden. Abbildung 4-1 IP: w.x.y.z PROFINET IE IP: w.x.y.z+n Field PG (Management PC) SIMATIC IPC Erreichbarkeit Management PC und SIMATIC IPC befinden sich im gleichen physikalischen und logischen Netzwerk und sind daher gegenseitig erreichbar. Bei Verwendung einer Firewall müssen die entsprechenden Ports freigeschaltet werden ( ). Dieser Verbindungsweg stellt den einfachsten Fall dar. Verschlüsselte Kommunikation zur Fernwartung Konfiguration Die Intel AMT Technologie stellt eine verschlüsselte Kommunikation zur Verfügung (siehe Kapitel 5.2 Verschlüsselte Verbindungen ). Um Ihre Daten zu schützen, wird empfohlen, diese verschlüsselte Verbindung zu verwenden. Bei der Direktverbindung sind keine zusätzlichen Konfigurationsschritte notwendig. Folgen Sie den Anweisungen zur Konfiguration des entfernten SIMATIC IPCs und des Management-PCs. Siehe Kapitel 0 Weitere Informationen, sowie eine Beitrags-ID: , V1.1, 06/

11 4.1 Mögliche Verbindungswege Beispielkonfiguration, finden Sie im Applikationsbeispiel IP-basierte Remote Networks \4\. Konfiguration des entfernten SIMATIC IPCs (BIOS/MEBx) Verbindung über das Internet mit Standard Router Definition DynDNS (dynamisches Domain-Name-System) ist ein Internetdienst, der es ermöglicht, einen festen Hostnamen als Pseudonym für eine sich dynamisch ändernde IP-Adresse einzurichten. Er ermöglicht also einem Internetteilnehmer, trotz dessen sich ändernder IP Adresse, immer unter demselben Domainnamen erreichbar zu sein. Abbildung 4-2 Domain Name DynDNS Service DSL-Router Dynamische IP Dynamische IP DSL-Router Field PG (Management PC) Internet Simatic IPC Konfiguration Weitere Informationen, sowie eine Beispielkonfiguration, finden Sie im Applikationsbeispiel IP-basierte Remote Networks \4\. Beitrags-ID: , V1.1, 06/

12 4.1 Mögliche Verbindungswege Verbindung über das Internet mit VPN (Virtual Private Network) Definition Ein Virtual Private Network (VPN) ist ein Datennetzwerk, das zum Transport privater Daten durch ein öffentliches Netzwerk (z.b. Internet) genutzt wird. Es ermöglicht somit eine sichere Übertragung über ein unsicheres Netzwerk. Diese Verbindung ist üblicherweise verschlüsselt und damit sicher, aber dies ist nicht grundsätzlich der Fall. Ein VPN Netzwerk, auch als Tunnel bezeichnet, kann auch ein ungesicherter Klartexttunnel sein. Abbildung 4-3 VPN Gateway VPN Gateway Field PG (Management PC) Internet (mit VPN-Tunnel) Simatic IPC Konfiguration Weitere Informationen, sowie eine Beispielkonfiguration, finden Sie im Applikationsbeispiel IP-basierte Remote Networks \4\. Beitrags-ID: , V1.1, 06/

13 4.2 Konfiguration des entfernten SIMATIC IPCs (BIOS/MEBx) 4.2 Konfiguration des entfernten SIMATIC IPCs (BIOS/MEBx) Führen Sie die folgenden e direkt am SIMATIC IPC aus. Die Konfiguration kann nicht per Remote-Zugriff durchgeführt werden Intel AMT auf Default-Werte zurücksetzen Wurden zu einem früheren Zeitpunkt bereits Intel AMT-Konfigurationen vorgenommen, so ist es ratsam, alle bisherigen Intel AMT- Einstellungen in der MEBx zu verwerfen. Ist der Computer fabrikneu, so kann dieser Punkt übersprungen werden. Um Intel AMT auf Default-Werte zurückzusetzen, gehen Sie wie folgt vor: Tabelle Drücken Sie beim Booten "ESC", um ins BIOS-Auswahlmenü zu gelangen. Wählen Sie SCU und bestätigen Sie mit Enter. Bei älteren SIMATIC IPCs wählen Sie F2 um ins BIOS zu gelangen. 2. Stellen Sie unter Advanced > Active Management Technology Support den Punkt "Un-Configure ME" auf Enabled. 3. Verlassen Sie das BIOS mit "F10" (Save and Exit) und bestätigen Sie mit Yes. Nach einem automatischen Neustart wird folgende Abfrage angezeigt: 4. Bestätigen Sie die Abfrage mit "Y" ("Z" auf einer deutschen Tastatur), um alle bisherigen Einstellungen in der Management Engine (ME) zu verwerfen Intel AMT aktivieren (Grundkonfiguration) Um Intel AMT zu aktivieren, gehen Sie wie folgt vor: Tabelle Setzen Sie bei Bedarf Intel AMT zuerst in den Default-Zustand zurück (siehe: Intel AMT auf Default-Werte zurücksetzen). 2. Drücken Sie beim Booten ESC, um ins BIOS-Auswahlmenü zu gelangen. Wählen Sie SCU und bestätigen Sie mit Enter. Bei älteren SIMATIC IPCs wählen Sie F2, um ins BIOS zu gelangen 3. Stellen Sie im Menü Advanced > Active Management Technology Support den Punkt Intel AMT Support auf Enabled. 4. Verlassen Sie das BIOS mit F10 (Save and Exit). 5. Drücken Sie ESC, um ins BIOS-Auswahlmenü zu gelangen. Wählen Sie MEBx und bestätigen Sie mit Enter 6. Wählen Sie MEBx Login und bestätigen Sie mit Enter. 7. Geben Sie das Standard Passwort admin ein. Beitrags-ID: , V1.1, 06/

14 4.2 Konfiguration des entfernten SIMATIC IPCs (BIOS/MEBx) 8. Ändern Sie das Standard Passwort. Das neue Passwort muss folgende Bedingungen erfüllen: Mindestens acht Zeichen Ein Großbuchstabe Ein Kleinbuchstabe Eine Zahl Eines der Sonderzeichen # $ % ^ & * ) Der Unterstrich _ und das Leerzeichen sind gültige Passwort-Zeichen, erhöhen aber nicht die Passwort-Komplexität. Hinweis Das Passwort darf nur dem Fernwartungs-Personal bekannt sein. Ist das Passwort bekannt, hat man vollen Zugriff auf den SIMATIC IPC. Das Tastaturlayout in der MEBx ist Englisch. Bei Verwendung einer deutschen Tastatur müssen Sie dies bei der Passwortvergabe beachten. 9. Stellen Sie "Intel AMT Configuration > Manageability Feature Selection" auf Enabled. 10. Wählen Sie die Option Activate Network Access und bestätigen Sie mit Y ( Z auf der deutschen Tastatur) IP-Adresse manuell konfigurieren Vorgehensweise Ist kein DHCP-Server vorhanden, müssen die IP-Adresse und Subnetzmaske manuell vergeben werden. Gehen Sie wie folgt vor, um IP-Adresse und Subnetzmaske manuell zu vergeben. Tabelle Wechseln Sie in folgendes Untermenü: "Network Setup > TCP/IP Settings > Wired LAN IPV4 Configuration" bzw. Wired LAN IPV6 Configuration. 2. Nehmen Sie in diesem Untermenu die folgenden Einstellungen vor: DHCP Mode = DISABLED IPV4 Address = gewünschte IP-Adresse Subnet Mask Address = gewünschte Subnetzmaske 3. Drücken Sie die Taste ESC bis die Abfrage Are you sure you want to exit? erscheint. Bestätigen Sie die Abfrage mit Y ( Z auf einer deutschen Tastatur). Beitrags-ID: , V1.1, 06/

15 4.3 SIMATIC IPC Remote Manager Setup 4.3 SIMATIC IPC Remote Manager Setup Tabelle Starten Sie die Installation des SIMATIC IPC Remote Manager auf dem Management-PC durch einen Doppelklick auf die Datei Setup.exe. 2. Folgen Sie den Anweisungen des Installers, um SIMATIC IPC Remote Manager zu installieren. 3. Nach erfolgreicher Installation müssen Sie den SIMATIC IPC Remote Manager mit Ihrem Lizenzschlüssel lizenzieren. Öffnen Sie dazu folgende Verknüpfung: "Start > Alle Programme > Siemens Automation > Remote Manager > Advanced > Enter VNC Viewer Plus License Key" Geben Sie Ihren Lizenzschlüssel ein. 4. Nach erfolgreicher Lizenzierung können Sie den KVM-Viewer des SIMATIC IPC Remote Manager wie folgt öffnen: "Start > Alle Programme > Siemens Automation > Remote Manager > VNC Viewer Plus" Hinweis Details zur Bedienung des KVM-Viewers finden Sie im Kapitel Bedienung. Beitrags-ID: , V1.1, 06/

16 4.4 Optional: Konfiguration des DSL-Modems 4.4 Optional: Konfiguration des DSL-Modems Verbindung über das Internet mit DSL-Modem und Router Diese beiden e sind nur notwendig, wenn Sie die Verbindung über das Internet mit Standard Router gewählt haben. Port Forwarding Ist der entfernte SIMATIC IPC über ein DSL-Modem mit dem Internet verbunden, so muss im Router ein Port Forwarding für die TCP-Ports bis auf den SIMATIC IPC eingerichtet werden. Dynamic DNS Häufig weisen DSL-Provider ihren Kunden wechselnde IP-Adressen zu. Um eine feste Adresse für den entfernten SIMATIC IPC zu erhalten, kann Dynamic DNS (DDNS) verwendet werden. Damit ist der SIMATIC IPC trotz wechselnder IP- Adresse immer über einen festen Namen ("Fully qualified domain name" (FQDN)) z.b. als PC1.TESTDomain.test erreichbar. Details zum Einrichten von DDNS hängen vom DDNS-Anbieter ab. Im Wesentlichen sind zwei Handlungsschritte erforderlich, um mittels DDNS eine feste FQDN zu erhalten. 1. Es muss ein Account bei einem DDNS-Anbieter eingerichtet werden. 2. Im DSL-Modem muss DDNS aktiviert werden und die Zugangs- und Konfigurationsdaten des DDNS-Anbieters müssen eingetragen werden. 4.5 Transport Layer Security (TLS)-Konfiguration Intel AMT bietet die Möglichkeit Verbindungen (z.b. mit dem SIMATIC IPC Remote Manager und dem WEB-Interface) über das gängige TLS-Verfahren zu verschlüsseln. Der SIMATIC IPC muss hierzu entsprechend konfiguriert werden. Dazu wird ein Zertifikat erstellt und sowohl im entfernten SIMATIC IPC, als auch im Management-PC hinterlegt. Manageability Director Der Manageability Director ist ein Programm aus dem Intel Active Management Technology Developer Tool Kit (Intel AMT DTK). Sie finden das DTK zum Download im Internet unter: \8\ Um ein Zertifikat zu erstellen, dieses in die Management-Engine zu laden und die ME für TLS zu konfigurieren gehen Sie wie folgt vor: Beitrags-ID: , V1.1, 06/

17 4.5 Transport Layer Security (TLS)-Konfiguration Entfernten SIMATIC IPC für TLS konfigurieren Tabelle Laden Sie das DTK, welches den Director enthält, herunter. 2. Installieren Sie das DTK auf dem Management-PC. 3. Klicken Sie auf Next. 4. Bestätigen Sie die Lizenzvereinbarung, wenn Sie damit einverstanden sind. Beitrags-ID: , V1.1, 06/

18 4.5 Transport Layer Security (TLS)-Konfiguration 5. Wählen Sie den Installationspfad und bestätigen Sie mit Next. 6. Wählen Sie die im Bild dargestellte Option und bestätigen Sie mit Next. Beitrags-ID: , V1.1, 06/

19 4.5 Transport Layer Security (TLS)-Konfiguration 7. Bestätigen Sie die Installation mit Next. Es erscheint die Meldung, dass die Installation erfolgreich abgeschlossen wurde. Beenden Sie den Dialog mit einem Klick auf Finish. 8. Starten Sie Start > Alle Programme > Manageability Developer Tool Kit > Manageability Director Tool. Beitrags-ID: , V1.1, 06/

20 4.5 Transport Layer Security (TLS)-Konfiguration Entfernten SIMATIC IPC hinzufügen Tabelle Wählen Sie im Baum auf der linken Seite des Directors den Knoten "Network". 2. Wählen Sie im Kontextmenü Add Intel AMT Computer. 3. Geben Sie den FQDN oder die IP-Adresse sowie die Authentication für den entfernten SIMATIC IPC ein. Der SIMATIC IPC wird im Baum hinzugefügt. Beitrags-ID: , V1.1, 06/

21 4.5 Transport Layer Security (TLS)-Konfiguration Zertifikat erstellen Tabelle Wählen Sie im Baum Configuration Server > Certificate Manager. 2. Drücken Sie auf der rechten Seite die Schaltfläche Create Root Certificate. 3. Füllen Sie die Felder im Dialog Certificate Generator aus. Drücken Sie die Schaltfläche Generate. Bestätigen Sie die Sicherheitswarnung mit Ja. Beitrags-ID: , V1.1, 06/

22 4.5 Transport Layer Security (TLS)-Konfiguration Profil erstellen Tabelle Wählen Sie im Baum Configuration Server > Security Profiles. 2. Wählen Sie im Kontextmenu Add Security Profile. 3. Geben Sie im folgenden Dialog einen Namen für das Profil ein und drücken Sie "OK". 4. Selektieren Sie im Baum das neu angelegte Profil. 5. Drücken Sie auf der rechten Seite die Schaltfläche neben dem Text Intel AMT Features. Beitrags-ID: , V1.1, 06/

23 4.5 Transport Layer Security (TLS)-Konfiguration 6. Aktivieren Sie im folgenden Dialog alle Checkboxen und drücken Sie "OK". 7. Drücken Sie auf der rechten Seite die Schaltfläche neben dem Text "Intel AMT Security". 8. Wählen Sie im folgenden Dialog Use TLS Security und drücken Sie "OK". 9. Drücken Sie die Schaltfläche neben dem Text Intel AMT Certificate. Beitrags-ID: , V1.1, 06/

24 4.5 Transport Layer Security (TLS)-Konfiguration 10. Wählen Sie im folgenden Dialog in der Auswahlliste Issuer Certificate das vorher angelegte Zertifikat aus und drücken Sie "OK" Profil in die Management-Engine laden Hinweis Für die folgenden e ist eine Verbindung zwischen Management-PC und entferntem SIMATIC IPC notwendig. Tabelle Drücken Sie die Schaltfläche Set this profile on computers am unteren Rand der Anwendung. Beitrags-ID: , V1.1, 06/

25 4.5 Transport Layer Security (TLS)-Konfiguration 2. Wählen Sie im folgenden Dialog den vorher hinzugefügten SIMATIC IPC aus und drücken Sie die Schaltfläche Set Profile. Das PC-Symbol unter Network färbt sich blau, wenn das Profil erfolgreich gesetzt wurde Zertifikate auf weiteren Management-PCs installieren - aus Director exportieren Tabelle Wählen Sie im Director den Knoten Configuration Server > Certificate Manager. Beitrags-ID: , V1.1, 06/

26 4.5 Transport Layer Security (TLS)-Konfiguration 2. Selektieren sie das erstellte Zertifikat. 3. Drücken sie die Schaltfläche Export. 4. Speichern Sie das Zertifikat im folgenden Dialog auf einem USB-Flashdrive (Datenträger). Beitrags-ID: , V1.1, 06/

27 4.5 Transport Layer Security (TLS)-Konfiguration Zertifikate auf dem Management-PC installieren importieren Tabelle Öffnen Sie auf dem Management-PC das Zertifikat auf dem USB-Flashdrive mit einem Doppelklick. 2. Drücken Sie im folgenden Dialog die Schaltfläche Install Certificate. 3. Drücken Sie im folgenden Dialog die Schaltfläche Next. Beitrags-ID: , V1.1, 06/

28 4.5 Transport Layer Security (TLS)-Konfiguration 4. Wählen Sie im folgenden Dialog Alle Zertifikate in folgendem Speicher speichern. Drücken Sie die Schaltfläche "Durchsuchen Wählen Sie Vertrauenswürdige Stammzertifizierung. Beitrags-ID: , V1.1, 06/

29 4.5 Transport Layer Security (TLS)-Konfiguration 6. Drücken Sie die Schaltfläche Weiter. 7. Drücken Sie die Schaltfläche Fertig stellen. Beitrags-ID: , V1.1, 06/

30 5 Bedienung 5.1 Unverschlüsselte Verbindungen 5 Bedienung Allgemein Dieses Kapitel beschreibt den prinzipiellen Umgang mit der Intel AMT Technologie. Zunächst wird auf die allgemeine Bedienung eingegangen; im Anschluss wird anhand verschiedener Szenarien die Bedienung bei speziellen Einsatzfällen veranschaulicht. Verbinden Sie zunächst den SIMATIC IPC mit dem LAN. 5.1 Unverschlüsselte Verbindungen Bedienung mit dem Viewer des SIMATIC IPC Remote Manager Tabelle Starten Sie den KVM-Viewer des SIMATIC IPC Remote Manager über Start > Alle Programme > Siemens Automation > Remote Manager > VNC Viewer Plus. Der Dialog New Connection wird angezeigt. 2. Klicken Sie die Schaltfläche Options. Klicken Sie im geöffneten Dialog die Schaltfläche Advanced und wechseln Sie in den Tab AMT Server. Deaktivieren Sie Always connect using FQDN, falls Sie die Verbindung zum entfernten SIMATIC IPC nicht über den FQDN herstellen. Beitrags-ID: , V1.1, 06/

31 5 Bedienung 5.1 Unverschlüsselte Verbindungen 3. Geben Sie im Dialog "New Connection" folgende Daten ein. Adresse (FQDN oder IP-Adresse) des entfernten SIMATIC IPC Encryption = None Connection Mode = Intel AMT KVM 4. Drücken Sie die Schaltfläche "Connect". 5. Melden Sie sich im folgenden Dialog mit dem in der Management Engine hinterlegten User Account an (siehe: Kapitel Intel AMT aktivieren (Grundkonfiguration), 8). Die gewünschte KVM-Verbindung zum entfernten SIMATIC IPC wird aufgebaut. Toolbar Der KVM-Viewer besitzt am oberen Fensterrand eine Toolbar, mit der Sie den KVM-Viewer bedienen. Über die Toolbar können Sie auch verschiede Intel AMT- Befehle wie Remote-Power-Management und IDE-Redirection ausführen. Nach dem Öffnen der unverschlüsselten Verbindung ist diese in der Toolbar des Viewers mit einem durchgestrichenen Schloss gekennzeichnet. Abbildung 5-1 Beitrags-ID: , V1.1, 06/

32 5 Bedienung 5.1 Unverschlüsselte Verbindungen Bedienung mit dem WEB-GUI Neben einer KVM-Verbindung kann Intel AMT auch über ein WEB GUI (Graphical User Interface) bedient werden. Gehen Sie wie folgt vor. Tabelle Geben Sie die IP-Adresse des SIMATIC IPCs im WEB-Browser ein. [ Daraufhin wird eine Seite mit der Login-Möglichkeit angezeigt. 2. Klicken Sie auf die Schaltfläche Log On. 3. Melden Sie sich im folgenden Dialog mit dem in der Management Engine hinterlegten User Account an. Nach dem Anmelden bietet das WEB GUI detaillierte Systeminformationen zum entfernten SIMATIC IPC, Zugriff auf den Intel AMT-Event Log sowie die Möglichkeit den SIMATIC IPC ein- und auszuschalten. Beitrags-ID: , V1.1, 06/

33 5 Bedienung 5.2 Verschlüsselte Verbindungen 5.2 Verschlüsselte Verbindungen Bedienung mit dem Viewer des SIMATIC IPC Remote Manager Gehen Sie wie folgt vor. Tabelle Starten Sie den KVM-Viewer des SIMATIC IPC Remote Manager über Start > Alle Programme > Siemens Automation > Remote Manager > VNC Viewer Plus. Der Dialog New Connection wird angezeigt. 2. Klicken Sie die Schaltfläche Options. Klicken Sie im geöffneten Dialog die Schaltfläche Advanced und wechseln Sie in den Tab AMT Server. Deaktivieren Sie Always connect using FQDN, falls Sie die Verbindung zum entfernten SIMATIC IPC nicht über den FQDN herstellen. 3. Geben Sie im Dialog "New Connection" folgende Daten ein: Adresse des entfernten SIMATIC IPC Encryption = "TLS" Connection Mode = Intel AMT KVM Beitrags-ID: , V1.1, 06/

34 5 Bedienung 5.2 Verschlüsselte Verbindungen Nach dem Öffnen der verschlüsselten TLS-Verbindung ist diese in der Toolbar des Viewers mit einem Schloss gekennzeichnet. Abbildung Bedienung mit dem WEB-GUI Tabelle Zum Öffnen des WEB-GUI mit verschlüsselter Verbindung zum entfernten SIMATIC IPC muss folgende URL in den WEB-Browser eingegeben werden: [ Fully qualified domain name:16993]. Hinweis Nach dem Öffnen der verschlüsselten Verbindung ist diese im WEB-Browser mit einem Schloss neben der URL gekennzeichnet. Im Kontextmenü des Schloss- Icon kann das zur TLS-Verschlüsselung verwendete Zertifikat angezeigt und analysiert werden. 2. Klicken Sie auf die Schaltfläche Log On und melden Sie sich mit dem in der Management Engine hinterlegten User Account an. Nach dem Anmelden bietet das WEB GUI detaillierte Systeminformationen zum entfernten SIMATIC IPC, Zugriff auf den Intel AMT-Event Log sowie die Möglichkeit den SIMATIC IPC ein- und auszuschalten. Beitrags-ID: , V1.1, 06/

35 5 Bedienung 5.3 Szenario 1 SIMATIC WinAC 5.3 Szenario 1 SIMATIC WinAC In diesem Szenario wird Ihnen beschrieben, wie Sie ein Programm in die SIMATIC WinAC auf einem entfernten SIMATIC IPC laden können. Zunächst muss das Programm auf den SIMATIC IPC übertragen werden. Dies geschieht auf gewohntem Wege via Internet, oder Datenträger. Abbildung 5-3 Übertragung des Projekts ( , Internet, Verzeichnisfreigabe) Field PG (Management-PC) Simatic IPC Nachdem Sie das Projekt auf den entfernten SIMATIC IPC übertragen und Sie sich mit dem Remote Manager auf den entfernten SIMATIC IPC verbunden haben, können Sie wie gewohnt die WinAC mit Hilfe von Step 7 laden. Hinweis Zum Laden des Programms in die SIMATIC WinAC wird eine Engineering Station (STEP 7) auf diesem SIMATIC IPC vorausgesetzt. Beitrags-ID: , V1.1, 06/

36 Beobachten Bedienen Laden 5 Bedienung 5.3 Szenario 1 SIMATIC WinAC Tabelle 5-5 Konfiguration Zugriff mit Remote Manager A X X X SIMATIC IPC Projekt laden (Rechner-intern) Zugriff mit Remote Manager B X X X Lokales Netzwerk Simatic IPC Engineering Simatic IPC PC-based Controller Projekt laden (über lokales Netzwerk) Zugriff mit Remote Manager C X X -- Simatic IPC PC-based Controller Projekt laden Beitrags-ID: , V1.1, 06/

37 5 Bedienung 5.4 Szenario 2 Wiederherstellen eines SIMATIC IPC mit Hilfe eines ISO-Images 5.4 Szenario 2 Wiederherstellen eines SIMATIC IPC mit Hilfe eines ISO-Images Ausgangssituation Sie befinden sich am Management-PC. Auf diesem ist ein ISO-Image der Installations-DVD für den SIMATIC IPC abgelegt. Sie haben eine Remote-Verbindung zum entfernten SIMATIC IPC aufgebaut. Der entfernte SIMATIC IPC ist ausgeschaltet. Vorgehen Tabelle Klicken Sie auf die Schaltfläche Mount Disk Images. Das Dialogfeld Mount Disk Images öffnet sich. 2. Wählen Sie das entsprechende ISO-Image aus, in dem Sie auf die Schaltfläche Browse im geöffneten Dialog klicken. 3. Bestätigen Sie das ausgewählte Image mit Mount. 4. Schalten Sie den entfernten SIMATIC IPC ein. Beitrags-ID: , V1.1, 06/

38 5 Bedienung 5.4 Szenario 2 Wiederherstellen eines SIMATIC IPC mit Hilfe eines ISO-Images 5. Wählen Sie im folgenden Dialog Power On. 6. Wählen Sie die Boot-Option Boot to CD/DVD. Das System bootet von dem ISO-Image. Sie können jetzt den SIMATIC IPC über die Ferne neu installieren. Beitrags-ID: , V1.1, 06/

39 6 Weitere Hinweise, Tipps und Tricks, etc. 6 Weitere Hinweise, Tipps und Tricks, etc. DiagMonitor-Integration Ist die Software DiagMonitor Version 4.3 oder höher auf einem PC mit SIMATIC IPC Remote Manager installiert, so wird der Viewer des SIMATIC IPC Remote Manager in den DiagMonitor integriert. Im DiagMonitor kann der Viewer aus dem Menü "Tools" und dem Kontextmenü geöffnet werden. Teaming Ein gleichzeitiger Betrieb von Intel AMT und Teaming (Zusammenfassung mehrerer physikalischer Netzwerkkarten zu einer logischen Netzwerkkarte (NIC) um Redundanz zu gewährleisten) ist mit dem On-board Ethernet Controller 82577LM nicht möglich. Möchte man trotzdem Intel AMT und Teaming gleichzeitig verwenden, so kann dies durch das Stecken einer weiteren Ethernet-Baugruppe mit Intel Controller (z.b L oder einem anderen Intel GbE Controller) erfolgen. Mit dieser zusätzlichen Ethernet-Karte und dem 82574L on-board Ethernet Controller ist ein gleichzeitiger Betrieb von Teaming und Intel AMT möglich. Maximale Auflösung Mit der verwendeten MEBx-Version wird eine maximale Auflösung von 1920x1080 unterstützt. Ab der Version 7.0 wird eine maximale Auflösung von 1920x1200 unterstützt. Passwörter In der Grundeinstellung (s. Intel AMT aktivieren (Grundkonfiguration)) ist für den Benutzer admin ein Passwort zu vergeben. Danach kann man sich mit dem Benutzer admin und dem Passwort an der MEBx, dem WEB-Interface und dem RealVNC-Viewer anmelden. In der MEBx und in dem WEB-Interface besteht die Möglichkeit für den User admin zwei verschiedene Passwörter zu vergeben, ein Passwort zum Anmelden an der MEBx und ein weiteres für das WEB-Interface und den RealVNC-Viewer. Das Passwort für die MEBx lässt sich unter MEBx > Intel ME General Settings > Change Intel ME Password ändern. Das Passwort für das WEB-Interface kann unter WEB-Interface > User Accounts > Change Administrator Account geändert werden. Haben Sie unterschiedliche Passwörter eingestellt, so müssen Sie beim Anmelden an der MEBx, dem WEB-Interface oder dem RealVNC-Viewer darauf achten, dass Sie das entsprechende Passwort verwenden. Fehlerbehebung bei Verbindungsproblemen Kann keine KVM-Verbindung aufgebaut werden, so finden Sie eine Checkliste zur Fehlerbehebung im Kapitel Getting connected > Troubleshooting connection des VNC Viewer Plus User Guide (\6\). Beitrags-ID: , V1.1, 06/

40 7 Glossar 7 Glossar Tabelle 7-1 Abkürzung Begriff Bedeutung AMT Active Management Technology Fernwartungs-Technologie DDNS Dynamic DNS Mechanismus zur Zuweisung eines festen FQDN an einen Internetanschluss mit wechselnder IP-Adresse DHCP Dynamic Host Configuration Protocol Protokoll zur Konfiguration von IP-Netzwerken DNS Domain Name System Dienst zur Ermittlung der IP-Adresse eines FQDN DTK Developer Tool Kit Entwickler-Tools um Intel AMT zu testen, konfigurieren, usw. GUI Graphical user interface Grafische Benutzeroberfläche FQDN Fully qualified domain name Voll qualifizierter Domain- Name IDER IDE Redirection Remote-Einbinden einer ISO-Datei als Laufwerk IE Internet Explorer IPC Industrie-PC Besonders robuster Computer zum Einsatz im industriellen Umfeld KVM KVM-Viewer Keyboard Video Mouse Keyboard Video Mouse- Viewer Im SIMATIC IPC Remote Manager wird hierfür der RealVNC Viewer verwendet. ME Management Engine Firmware & Hardware welche Intel AMT implementiert MEBx SCS Management Engine BIOS Extension Setup and Configuration Service Benutzeroberfläche zu Grundkonfiguration von Intel AMT Intel -Applikation zur Intel AMT-Konfiguration SOL Serial over LAN Textbasierte Remote- Bedienung TLS Transport Layer Security Netzwerkprotokoll zur verschlüsselten Übertragung. Nachfolger von SSL Beitrags-ID: , V1.1, 06/

41 8 Literaturhinweise 8 Literaturhinweise Tabelle 8-1 Thema \1\ Siemens Industry Online Support \2\ Downloadseite des Beitrages \3\ Intel AMT Seite \4\ IP-basierte Remote Networks \5\ Betriebsanleitung der SIMATIC IPCs \6\ VNC Viewer Plus User Guide de.pdf \7\ Handbuch SIMATIC IPC Remote Manager \8\ Manageability Director 9 Historie Tabelle 9-1 Version Datum Änderung V1.0 06/2011 Erste Ausgabe V1.1 11/2014 Aktualisierung (neue Soft-/Hardware) V1.1 06/2016 Aktualisierung (neue Hardware) Beitrags-ID: , V1.1, 06/