Security einrichten SIMATIC NET. Industrial Ethernet Security Security einrichten. Vorwort 1. Bedienoberfläche und Menübefehle

Transkript

1 Vorwort 1 Bedienoberfläche und Menübefehle 2 SIMATIC NET Industrial Ethernet Security Getting Started IP-Adressen für SCALANCE S623 projektieren 3 Firewall im Standard Modus 4 Firewall im Erweiterten Modus 5 VPN-Tunnel konfigurieren 6 Fernzugriff über VPN-Tunnel konfigurieren 7 04/2015 C79000-G8900-C287-04

2 Rechtliche Hinweise Warnhinweiskonzept Dieses Handbuch enthält Hinweise, die Sie zu Ihrer persönlichen Sicherheit sowie zur Vermeidung von Sachschäden beachten müssen. Die Hinweise zu Ihrer persönlichen Sicherheit sind durch ein Warndreieck hervorgehoben, Hinweise zu alleinigen Sachschäden stehen ohne Warndreieck. Je nach Gefährdungsstufe werden die Warnhinweise in abnehmender Reihenfolge wie folgt dargestellt. GEFAHR bedeutet, dass Tod oder schwere Körperverletzung eintreten wird, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. WARNUNG bedeutet, dass Tod oder schwere Körperverletzung eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. VORSICHT bedeutet, dass eine leichte Körperverletzung eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. ACHTUNG bedeutet, dass Sachschaden eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. Beim Auftreten mehrerer Gefährdungsstufen wird immer der Warnhinweis zur jeweils höchsten Stufe verwendet. Wenn in einem Warnhinweis mit dem Warndreieck vor Personenschäden gewarnt wird, dann kann im selben Warnhinweis zusätzlich eine Warnung vor Sachschäden angefügt sein. Qualifiziertes Personal Das zu dieser Dokumentation zugehörige Produkt/System darf nur von für die jeweilige Aufgabenstellung qualifiziertem Personal gehandhabt werden unter Beachtung der für die jeweilige Aufgabenstellung zugehörigen Dokumentation, insbesondere der darin enthaltenen Sicherheits- und Warnhinweise. Qualifiziertes Personal ist auf Grund seiner Ausbildung und Erfahrung befähigt, im Umgang mit diesen Produkten/Systemen Risiken zu erkennen und mögliche Gefährdungen zu vermeiden. Bestimmungsgemäßer Gebrauch von Siemens-Produkten Beachten Sie Folgendes: Marken WARNUNG Siemens-Produkte dürfen nur für die im Katalog und in der zugehörigen technischen Dokumentation vorgesehenen Einsatzfälle verwendet werden. Falls Fremdprodukte und -komponenten zum Einsatz kommen, müssen diese von Siemens empfohlen bzw. zugelassen sein. Der einwandfreie und sichere Betrieb der Produkte setzt sachgemäßen Transport, sachgemäße Lagerung, Aufstellung, Montage, Installation, Inbetriebnahme, Bedienung und Instandhaltung voraus. Die zulässigen Umgebungsbedingungen müssen eingehalten werden. Hinweise in den zugehörigen Dokumentationen müssen beachtet werden. Alle mit dem Schutzrechtsvermerk gekennzeichneten Bezeichnungen sind eingetragene Marken der Siemens AG. Die übrigen Bezeichnungen in dieser Schrift können Marken sein, deren Benutzung durch Dritte für deren Zwecke die Rechte der Inhaber verletzen kann. Haftungsausschluss Wir haben den Inhalt der Druckschrift auf Übereinstimmung mit der beschriebenen Hard- und Software geprüft. Dennoch können Abweichungen nicht ausgeschlossen werden, so dass wir für die vollständige Übereinstimmung keine Gewähr übernehmen. Die Angaben in dieser Druckschrift werden regelmäßig überprüft, notwendige Korrekturen sind in den nachfolgenden Auflagen enthalten. Siemens AG Division Process Industries and Drives Postfach NÜRNBERG DEUTSCHLAND Dokumentbestellnummer: C79000-G8900-C P 05/2015 Änderungen vorbehalten Copyright Siemens AG Alle Rechte vorbehalten

3 Inhaltsverzeichnis 1 Vorwort Bedienoberfläche und Menübefehle IP-Adressen für SCALANCE S623 projektieren Übersicht SCALANCE S und Netzwerk einrichten IP-Einstellungen des PCs einrichten Projekt und Security-Baugruppe anlegen Konfiguration auf Security-Baugruppe laden Firewall im Standard Modus Beispiel mit einem SCALANCE S Übersicht SCALANCE S und Netzwerk einrichten IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppe anlegen Firewall projektieren Konfiguration auf Security-Baugruppe laden Firewallfunktion testen (Ping-Test) Firewall-Datenverkehr aufzeichnen (Logging) Beispiel mit einem CP x43-1 Advanced Übersicht IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppe anlegen Firewall projektieren Konfiguration auf Security-Baugruppe laden Firewallfunktion testen (Ping-Test) Firewall-Datenverkehr aufzeichnen (Logging) Beispiel mit einem CP Übersicht IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppe anlegen Firewall projektieren Konfiguration auf Security-Baugruppe laden Firewallfunktion testen (Ping-Test) Firewall-Datenverkehr aufzeichnen (Logging) Firewall im Erweiterten Modus SCALANCE S als Firewall und NAT-Router Übersicht SCALANCE S und Netzwerk einrichten IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppe anlegen Getting Started, 04/2015, C79000-G8900-C

4 Inhaltsverzeichnis NAT-Router-Betrieb projektieren Firewall projektieren Konfiguration auf Security-Baugruppe laden NAT-Router-Funktion testen und Datenverkehr aufzeichnen SCALANCE S als Firewall zwischen externem Netz und DMZ Übersicht SCALANCE S und Netzwerk einrichten IP-Einstellungen der Netzwerkteilnehmer einrichten Projekt und Security-Baugruppe anlegen Firewall projektieren Konfiguration auf Security-Baugruppe laden Firewallfunktion über Webserver-Zugriff testen Firewallfunktion über Ping-Test testen SCALANCE S als benutzerspezifische Firewall zwischen externem Netz und internem Netz Übersicht SCALANCE S und Netzwerk einrichten IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppe anlegen Remote Access Benutzer anlegen Benutzerspezifischen IP-Regelsatz einstellen und zuweisen Konfiguration auf Security-Baugruppe laden Auf Webseite anmelden Firewallfunktion testen (Ping-Test) SCALANCE S als benutzerspezifische Firewall zwischen Netz an DMZ-Schnittstelle und internem Netz Übersicht SCALANCE S und Netzwerk einrichten IP-Einstellungen der Netzwerkteilnehmer einrichten Projekt und Security-Baugruppe anlegen Remote Access Benutzer anlegen Benutzerspezifischen IP-Regelsatz einstellen und zuweisen Konfiguration auf Security-Baugruppe laden Auf Webseite anmelden Firewallfunktion testen (Ping-Test) CP x43-1 Advanced als Firewall und NAT-Router Übersicht IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppe anlegen NAT-Router-Betrieb projektieren Firewall projektieren Konfiguration auf Security-Baugruppe laden NAT-Router-Funktion testen und Datenverkehr aufzeichnen Beispiel mit einem CP 1628 und CP x43-1 Adv Übersicht IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppen anlegen Firewall projektieren Konfiguration auf Security-Baugruppen laden Firewallfunktion testen und Datenverkehr aufzeichnen Getting Started, 04/2015, C79000-G8900-C287-04

5 Inhaltsverzeichnis 6 VPN-Tunnel konfigurieren VPN-Tunnel zwischen SCALANCE S und SCALANCE S Übersicht SCALANCE S und Netzwerk einrichten IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppen anlegen VPN-Gruppe konfigurieren Konfiguration auf Security-Baugruppen laden Tunnel-Funktion testen (Ping-Test) VPN-Tunnel zwischen SCALANCE S623 und SCALANCE S Übersicht SCALANCE S und Netzwerk einrichten IP-Einstellungen der Netzwerkteilnehmer einrichten Projekt und Security-Baugruppen anlegen Standardrouter konfigurieren VPN-Gruppe konfigurieren VPN-Eigenschaften der SCALANCE S612 Baugruppe konfigurieren VPN-Verbindung konfigurieren Konfiguration auf Security-Baugruppen laden Tunnelfunktion testen (Ping-Test) VPN-Tunnel zwischen SCALANCE S und CP Übersicht Security-Baugruppen und Netzwerk einrichten IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppen anlegen VPN-Gruppe konfigurieren Konfiguration auf Security-Baugruppen laden Tunnelfunktion testen (Ping-Test) VPN-Tunnel zwischen CP 1628 und CP x43-1 Adv Übersicht IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppen anlegen VPN-Gruppe konfigurieren Konfiguration auf Security-Baugruppen laden Tunnelfunktion testen (Ping-Test) VPN-Tunnel zwischen allen Security-Produkten Übersicht IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppen anlegen VPN-Gruppen konfigurieren Konfiguration auf Security-Baugruppen laden und SOFTNET Security Client Konfiguration speichern Tunnelaufbau mit dem SOFTNET Security Client Tunnelfunktion testen (Ping-Test) Fernzugriff über VPN-Tunnel konfigurieren Fernzugriff - VPN-Tunnel-Beispiel mit SCALANCE S612 und SOFTNET Security Client Übersicht SCALANCE S und Netzwerk einrichten Getting Started, 04/2015, C79000-G8900-C

6 Inhaltsverzeichnis IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppen anlegen VPN-Gruppe konfigurieren Konfiguration auf Security-Baugruppe laden und SOFTNET Security Client Konfiguration speichern Tunnelaufbau mit dem SOFTNET Security Client Tunnelfunktion testen (Ping-Test) Fernzugriff - VPN-Tunnel-Beispiel mit CP x43-1 Advanced und SOFTNET Security Client Übersicht IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppen anlegen VPN-Gruppe konfigurieren Konfiguration auf Security-Baugruppen laden und SOFTNET Security Client Konfiguration speichern Tunnelaufbau mit dem SOFTNET Security Client Tunnelfunktion testen (Ping-Test) Fernzugriff - VPN-Tunnel-Beispiel mit SCALANCE M und SOFTNET Security Client Übersicht SCALANCE M und Netzwerk einrichten IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppen anlegen VPN-Gruppe und VPN-Gruppeneigenschaften konfigurieren Konfiguration des SCALANCE M und des SOFTNET Security Client speichern Konfiguration des SCALANCE M vornehmen Tunnelaufbau mit dem SOFTNET Security Client Tunnelfunktion testen (Ping-Test) Fernzugriff - SCALANCE S und SOFTNET Security Client mit benutzerspezifischem Zugriff Übersicht SCALANCE S und Netzwerk einrichten IP-Einstellungen der PCs einrichten Projekt und Security-Baugruppe anlegen VPN-Gruppe konfigurieren Remote Access Benutzer anlegen Firewall projektieren Konfiguration auf Security-Baugruppe laden und SOFTNET Security Client Konfiguration speichern Tunnelaufbau mit dem SOFTNET Security Client Firewall-Funktion testen (Ping-Test) Auf Webseite anmelden Firewall-Funktion testen (Ping-Test) Getting Started, 04/2015, C79000-G8900-C287-04

7 Vorwort 1 Schnell zum Ziel mit Getting Started Anhand einfacher Test-Netzwerke lernen Sie hier den Umgang mit den Security-Baugruppen und dem Projektierwerkzeug Security Configuration Tool kennen. Sie sehen, wie sich bereits ohne großen Projektieraufwand die Schutzfunktionen von Security-Baugruppen im Netz realisieren lassen. Sie können hierbei an unterschiedlichen Sicherheits-Beispielen die Grundfunktionen der Security-Baugruppen und des SOFTNET Security Client realisieren. IP-Einstellungen der Beispiele Hinweis Die in den Beispielen verwendeten IP-Einstellungen sind frei gewählt und funktionieren im isolierten Test-Netz konfliktfrei. Im realen Netzverbund müssen Sie diese IP-Einstellungen der Netzwerkumgebung anpassen, um eventuelle Adresskonflikte zu vermeiden. Gültigkeitsbereich des Getting Started Projektierungssoftware: STEP 7 Classic V5.5 ab SP2 Hotfix 1 Security Configuration Tool (SCT) ab V4.1 Produkte: SCALANCE S602, Artikelnummer: 6GK BA10-2AA3 SCALANCE S612, Artikelnummer: 6GK BA10-2AA3 SCALANCE S623, Artikelnummer: 6GK BA10-2AA3 SCALANCE S627-2M, Artikelnummer: 6GK BA10-2AA3 SOFTNET Security Client ab V5.0, Artikelnummer: 6GK VW05-0AA0 CP Advanced GX31 ab V3.0, Artikelnummer: 6GK GX31-0XE0 CP Advanced GX30 ab V3.0, Artikelnummer: 6GK GX30-0XE0 CP 1628, Artikelnummer: 6GK1162-8AA00 SCALANCE M875, Artikelnummer: 6GK AA10-1AA2 Getting Started, 04/2015, C79000-G8900-C

8 Vorwort Allgemeine Benennung "Security-Baugruppe" In der vorliegenden Dokumentation werden die folgenden Produkte unter der Benennung "Security-Baugruppe" zusammengefasst: CP Advanced GX31, CP Advanced GX30, CP 1628, SCALANCE S602 V4 / SCALANCE S612 V4 / SCALANCE S623 V 4 / SCALANCE S627-2M V4. Die CPs Advanced GX31 und Advanced GX30 werden als "CP x43-1 Adv." bezeichnet. SCALANCE M875 wird als "SCALANCE M" bezeichnet. Verwendung der Benennungen "Schnittstelle" und "Port" In der vorliegenden Dokumentation werden die folgenden Benennungen für die Ports von Security-Baugruppen verwendet: "Externe Schnittstelle": Der externe Port beim SCALANCE S602 / S612 / S623 bzw. ein externer Port beim SCALANCE S627-2M "Interne Schnittstelle": Der interne Port beim SCALANCE S602 / S612 / S623 bzw. ein interner Port beim SCALANCE S627-2M "DMZ-Schnittstelle": Der DMZ-Port beim SCALANCE S623 / S627-2M Die Benennung "Port" selbst wird dann verwendet, wenn ein spezieller Port einer Schnittstelle im Vordergrund steht. IP-Adressen der Security-Baugruppen in den Konfigurationsbeispielen Beim Laden einer Konfiguration auf eine Security-Baugruppe muss stets diejenige IP- Adresse angegeben werden, über die die jeweilige Schnittstelle aktuell erreichbar ist. In den Konfigurationsbeispielen dieses Handbuchs wird jeweils davon ausgegangen, dass die IP- Adressen aus der Konfiguration mit den aktuellen IP-Adressen der Security-Baugruppe identisch sind. Wenn Sie mehr wissen möchten Weitere Informationen zum Thema "Industrial Ethernet Security" entnehmen Sie dem Projektierungshandbuch "SIMATIC NET Industrial Ethernet Security - Security-Grundlagen und -Anwendung". Dort wird die gesamte Funktionalität sowie die Projektierungssoftware Security Configuration Tool detailliert beschrieben. Eine aktuelle Ausgabe finden Sie im Internet unter der Beitrags-ID: ( Hardwarebeschreibungen und Hinweise zur Installation finden Sie in den Dokumenten der einzelnen Baugruppen. Marken Folgende und eventuell weitere nicht mit dem Schutzrechtsvermerk gekennzeichnete Bezeichnungen sind eingetragene Marken der Siemens AG: C-PLUG, CP 343-1, CP 443-1, SCALANCE, SIMATIC, SOFTNET 8 Getting Started, 04/2015, C79000-G8900-C287-04

9 Vorwort Security-Hinweise Siemens bietet Produkte und Lösungen mit Industrial Security-Funktionen an, die den sicheren Betrieb von Anlagen, Lösungen, Maschinen, Geräten und/oder Netzwerken unterstützen. Sie sind wichtige Komponenten in einem ganzheitlichen Industrial Security- Konzept. Die Produkte und Lösungen von Siemens werden unter diesem Gesichtspunkt ständig weiterentwickelt. Siemens empfiehlt, sich unbedingt regelmäßig über Produkt- Updates zu informieren. Für den sicheren Betrieb von Produkten und Lösungen von Siemens ist es erforderlich, geeignete Schutzmaßnahmen (z. B. Zellenschutzkonzept) zu ergreifen und jede Komponente in ein ganzheitliches Industrial Security-Konzept zu integrieren, das dem aktuellen Stand der Technik entspricht. Dabei sind auch eingesetzte Produkte von anderen Herstellern zu berücksichtigen. Weitergehende Informationen über Industrial Security finden Sie unter Um stets über Produkt-Updates informiert zu sein, melden Sie sich für unseren produktspezifischen Newsletter an. Weitere Informationen hierzu finden Sie unter Getting Started, 04/2015, C79000-G8900-C

10 Vorwort 10 Getting Started, 04/2015, C79000-G8900-C287-04

11 Bedienoberfläche und Menübefehle 2 Aufbau der Bedienoberfläche im Erweiterten Modus 1 Navigationsbereich: Globale Firewall-Regelsätze Das Objekt enthält die projektierten globalen Firewall-Regelsätze. Weitere Ordner unterscheiden nach: Firewall IP-Regelsätzen Firewall MAC-Regelsätzen Benutzerspezifische IP-Regelsätze Alle Baugruppen Das Objekt enthält alle projektierten Baugruppen und SOFTNET Konfigurationen des Projekts. VPN-Gruppen Das Objekt enthält alle erzeugten VPN-Gruppen. Redundanzbeziehungen Das Objekt enthält alle erzeugten Redundanzbeziehungen des Projekts. Getting Started, 04/2015, C79000-G8900-C

12 Bedienoberfläche und Menübefehle Inhaltsbereich: Indem Sie ein Objekt im Navigationsbereich anwählen, erhalten Sie im Inhaltsbereich Detailinformationen zu diesem Objekt. Für einige Security-Baugruppen können Sie in diesem Bereich Auszüge der Schnittstellen- Konfigurationen einsehen und anpassen. Durch Doppelklick auf die Security-Baugruppen werden, sofern diese die entsprechenden Konfigurationsmöglichkeiten bieten, Eigenschaftsdialoge zur Eingabe weiterer Parameter geöffnet. Detail-Fenster: Das Detail-Fenster enthält zusätzliche Informationen zum ausgewählten Objekt und ermöglicht im jeweiligen Kontext einer VPN-Gruppe die Projektierung verbindungsgranularer VPN- Eigenschaften. Das Detail-Fenster kann über das Menü "Ansicht" aus- und eingeblendet werden. Statuszeile: Die Statuszeile zeigt Bedienzustände und aktuelle Statusmeldungen an. Hierzu gehören: Der aktuelle Benutzer und der Benutzertyp Die Bedienungssicht - Standard Modus / Erweiterter Modus Die Betriebsart - Online / Offline Symbolleiste Nachfolgend eine Übersicht der wählbaren Symbole in der Symbolleiste und deren Bedeutung. Symbol Bedeutung / Bemerkungen Neues Projekt anlegen. Bestehendes Projekt öffnen. Geöffnetes Projekt unter aktuellem Pfad und Projektnamen speichern. Angewähltes Objekt kopieren. Objekt aus der Zwischenablage einfügen. Angewähltes Objekt löschen. Neue Baugruppe anlegen. Das Symbol ist nur aktiv, wenn Sie sich innerhalb des Navigationsbereichs im Ordner "Alle Baugruppen" befinden. Neue VPN-Gruppe anlegen. Das Symbol ist nur aktiv, wenn Sie sich innerhalb des Navigationsbereichs im Ordner "VPN-Gruppen" befinden. 12 Getting Started, 04/2015, C79000-G8900-C287-04

13 Bedienoberfläche und Menübefehle Symbol Bedeutung / Bemerkungen Einen neuen globalen IP-Regelsatz / MAC-Regelsatz oder benutzerspezifischen IP- Regelsatz anlegen. Das Symbol ist nur aktiv, wenn Sie sich innerhalb des Navigationsbereichs in einem Unterordner von "Globale Firewall-Regelsätze" oder auf dem Ordner "Benutzerspezifische IP-Regelsätze" befinden. Neue Redundanzbeziehung anlegen. Das Symbol ist nur aktiv, wenn Sie sich innerhalb des Navigationsbereichs im Ordner "Redundanzbeziehungen" befinden. Konfiguration in die selektierten Security-Baugruppen laden bzw. Konfigurationsdaten für SOFTNET Security Client / SCALANCE M / VPN-Gerät / NCP VPN-Client (Android) erstellen. In den Offline-Modus umschalten. In den Online-Modus umschalten. Getting Started, 04/2015, C79000-G8900-C

14 Bedienoberfläche und Menübefehle Menüleiste Nachfolgend eine Übersicht der wählbaren Menübefehle und deren Bedeutung. Menübefehl Bedeutung / Bemerkungen Tastenkombination Projekt Neu... Öffnen... Speichern Speichern unter... Eigenschaften... Zuletzt geöffnete Projekte Beenden Funktionen für die projektspezifischen Einstellungen sowie das Laden und Speichern der Projektdatei. Neues Projekt anlegen. Für CP: Projekte werden durch STEP 7-Projektierung angelegt. Bestehendes Projekt öffnen. Für CP: Bestehende Projekte können nur über STEP 7-Projekte geöffnet werden. Geöffnetes Projekt unter aktuellem Pfad und Projektnamen speichern. Geöffnetes Projekt unter wählbarem Pfad und Projektnamen speichern. Für CP: Das Projekt ist Teil des STEP 7-Projekts. Der Pfad kann nicht geändert werden. Dialog für Projekteigenschaften öffnen. Direkte Auswahlmöglichkeit der bisher bearbeiteten Projekte. Für CP: Bestehende Projekte können nur über STEP 7 geöffnet werden. Projekt schließen. Strg + S Bearbeiten Menübefehle nur im Offline-Modus Hinweis Die Funktionen können Sie bei angewähltem Objekt teilweise auch über das Kontextmenü auswählen. Kopieren Angewähltes Objekt kopieren. Strg + C Einfügen Objekt aus der Zwischenablage holen und einfügen. Strg + V Löschen Angewähltes Objekt löschen. Entf Umbenennen Angewähltes Objekt umbenennen. F2 Neues Zertifikat... Neues Gruppenzertifikat für Baugruppe erzeugen, die nach Auswahl der zugehörigen VPN-Gruppe im Inhaltsbereich selektiert wurde. Baugruppe austauschen... Eigenschaften... Online-Diagnose... Angewählte Security-Baugruppe durch eine andere austauschen. Eigenschaftsdialog des angewählten Objektes öffnen. F4 Auf die Test- und Diagnosefunktionen zugreifen. Einfügen Baugruppe Menübefehle nur im Offline-Modus Neue Security-Baugruppe anlegen. Der Menübefehl ist nur aktiv, wenn eine Security- Baugruppe oder eine VPN-Gruppe im Navigationsbereich angewählt ist. Strg + M 14 Getting Started, 04/2015, C79000-G8900-C287-04

15 Bedienoberfläche und Menübefehle Menübefehl Bedeutung / Bemerkungen Tastenkombination Gruppe Firewall-Regelsatz Redundanzbeziehung Neue VPN-Gruppe anlegen. Der Menübefehl ist nur aktiv, wenn ein Gruppen- Objekt im Navigationsbereich angewählt ist. Einen neuen globalen Firewall IP-Regelsatz, MAC- Regelsatz oder benutzerspezifischen IP-Regelsatz anlegen. Der Menübefehl ist nur aktiv, wenn ein Firewall- Objekt im Navigationsbereich angewählt ist. Der Menübefehl ist nur im Erweiterten Modus sichtbar. Neue Redundanzbeziehung anlegen. Der Menübefehl ist nur aktiv, wenn Sie sich innerhalb des Navigationsbereichs im Ordner "Redundanzbeziehungen" befinden. Strg + G Strg + F Strg + R Übertragen An Baugruppe(n)... An alle Baugruppen... Konfigurationszustand... Firmware übertragen... Konfiguration auf die selektierte(n) Security- Baugruppe(n) laden bzw. Konfigurationsdaten für SOFTNET Security Client / SCALANCE M / VPN- Geräte / NCP VPN-Clients (Android) erstellen. Anmerkung: Es können nur konsistente Projektdaten geladen werden. Für CPs: Projektdaten können nur über STEP 7 geladen werden. Konfiguration auf alle Security-Baugruppen laden. Anmerkung: Es können nur konsistente Projektdaten geladen werden. Konfigurationszustand der projektierten Security- Baugruppen wird in einer Liste anzeigt. Neue Firmware in selektierte Security-Baugruppe laden. Für S7-CPs: Die Firmware wird über das Aktualisierungs-Zentrum der Web-Diagnose auf den CP geladen. Ansicht Erweiterter Modus Vom Standard Modus (Voreinstellung) in den Erweiterten Strg + E Modus umschalten. Achtung Sie können eine einmal vorgenommene Umschaltung in den Erweiterten Modus für das aktuelle Projekt nicht mehr rückgängig machen. Detail-Fenster einblenden Zusätzliche Details zum ausgewählten Objekt ein- Strg + Alt + D und ausblenden. Offline Voreinstellung. Umschaltung in die Offline- Strg + Shift + D Projektierungssicht. Online Umschaltung in die Online-Diagnosesicht. Strg + D Getting Started, 04/2015, C79000-G8900-C

16 Bedienoberfläche und Menübefehle Menübefehl Bedeutung / Bemerkungen Tastenkombination Optionen IP-Dienste... MAC-Dienste... Netzwerkadapter... Sprache... Log-Dateien... Symbolische Namen... Konfiguration der NTP- Server... Konfiguration der RADIUS-Server... Konsistenzprüfungen... Benutzerverwaltung... Zertifikatsmanager... Dialog für Dienst-Definitionen für IP-Firewall-Regeln öffnen. Der Menübefehl ist nur im Erweiterten Modus sichtbar. Dialog für Dienst-Definitionen für MAC-Firewall- Regeln öffnen. Der Menübefehl ist nur im Erweiterten Modus sichtbar. Über den ausgewählten Netzwerkadapter wird dem SCALANCE S eine IP-Adresse zugewiesen. Sprache auswählen, in der die SCT-Oberfläche angezeigt wird. Für SCT in STEP 7 wird die Sprache der SCT- Oberfläche über die Sprachauswahl in STEP 7 festgelegt. Anzeige von gespeicherten Log-Dateien. Symbolische Namen für IP- oder MAC-Adressen vergeben. NTP-Server erstellen und bearbeiten. RADIUS-Server erstellen und bearbeiten. Konsistenz des gesamten Projektes prüfen. Als Ergebnis wird eine Resultatsliste ausgegeben. Benutzer und Rollen anlegen und bearbeiten, Rechte zuweisen und Passwort-Richtlinien definieren. Zertifikate anzeigen oder importieren / exportieren. Hilfe Hilfethemen... Info... Hilfe zu den Funktionen und Parametern, die Sie im SCT vorfinden. Informationen zum Versions- und Ausgabestand des SCT. F1 16 Getting Started, 04/2015, C79000-G8900-C287-04

17 Bedienoberfläche und Menübefehle Getting Started, 04/2015, C79000-G8900-C

18

19 IP-Adressen für SCALANCE S623 projektieren Übersicht Übersicht In diesem Beispiel werden im Security Configuration Tool IP-Adressen für eine SCALANCE S623 Baugruppe, die sich im Zustand der Werkseinstellungen befindet, projektiert. Im Anschluss wird die Konfiguration über die externe Schnittstelle auf die Security-Baugruppe geladen. Aufbau des Testnetzes Erforderliche Geräte/Komponenten: Für den Aufbau verwenden Sie folgende Komponenten: 1 x SCALANCE S623 (zusätzlich optional: eine entsprechend montierte Hutschiene mit Montagematerial) 1x 24V-Stromversorgung mit Kabelverbindung und Klemmenblockstecker 1x PC, auf dem das Projektierungswerkzeug "Security Confguration Tool" installiert ist die nötigen Netzwerkkabel, TP-Kabel (Twisted Pair) nach dem Standard IE FC RJ45 für Industrial Ethernet Voraussetzung Um dieses Beispiel durchführen zu können, muss folgende Voraussetzung erfüllt sein: Die Security-Baugruppe befindet sich im Zustand der Werkseinstellungen. Sie können diesen Zustand wiederherstellen, indem Sie die Reset-Taste an der Security-Baugruppe betätigen und mindestens 5 Sekunden gedrückt halten. Für weitere Informationen zur Reset-Taste der Security-Baugruppe, siehe Kapitel "4.3 Reset-Taste - Rücksetzen der Konfiguration auf Werkseinstellung" im Handbuch "SIMATIC NET Industrial Ethernet Security - SCALANCE S V4". Getting Started, 04/2015, C79000-G8900-C

20 IP-Adressen für SCALANCE S623 projektieren 3.2 SCALANCE S und Netzwerk einrichten Die folgenden Schritte in der Übersicht: 3.2 SCALANCE S und Netzwerk einrichten Gehen Sie wie folgt vor: 1. Packen Sie zunächst den SCALANCE S623 aus und überprüfen Sie den unbeschädigten Zustand. 2. Schließen Sie die Spannungsversorgung an den SCALANCE S623 an. Ergebnis: Nach dem Anschließen der Betriebsspannung leuchtet die Fault-LED (F) gelb. WARNUNG Nur Sicherheitskleinspannung verwenden Das Gerät SCALANCE S ist für den Betrieb mit Sicherheitskleinspannung ausgelegt. Entsprechend dürfen an die Versorgungsanschlüsse nur Sicherheitskleinspannungen (SELV) nach IEC950/EN60950/VDE0805 angeschlossen werden. Das Netzteil für die Versorgung des SCALANCE S muss NEC Class 2 entsprechen (Spannungsbereich V, Strombedarf ca. 250 ma). 1. Stellen Sie jetzt die physikalische Netzwerkverbindung her, indem Sie die externe Schnittstelle der Security-Baugruppe mit dem PC verbinden. 2. Schalten Sie jetzt den PC ein. 20 Getting Started, 04/2015, C79000-G8900-C287-04

21 IP-Adressen für SCALANCE S623 projektieren 3.2 SCALANCE S und Netzwerk einrichten Hinweis Die Ethernet-Schnittstellen werden vom SCALANCE S unterschiedlich behandelt und dürfen beim Anschluss an das Kommunikationsnetzwerk nicht verwechselt werden: Schnittstelle X1 - External Network Rote Markierung = ungeschützter Netzwerkbereich; Schnittstelle X2 - Internal Network Grüne Markierung = durch SCALANCE S geschütztes Netzwerk; Schnittstelle X3 - DMZ-Port (universelle Netzwerkschnittstelle) Gelbe Markierung = ungeschützter Netzwerkbereich oder durch SCALANCE S geschützter Netzwerkbereich. Beim Vertauschen der Schnittstellen verliert das Gerät seine Schutzfunktion. Getting Started, 04/2015, C79000-G8900-C

22 IP-Adressen für SCALANCE S623 projektieren 3.3 IP-Einstellungen des PCs einrichten 3.3 IP-Einstellungen des PCs einrichten Der PC erhält folgende IP-Adresseinstellungen. PC IP-Adresse Subnetzmaske PC Gehen Sie dazu folgendermaßen vor: 1. Öffnen Sie auf dem PC mit dem Menübefehl "Start" > "Systemsteuerung" die Systemsteuerung. 2. Öffnen Sie das Symbol "Netzwerk und Freigabecenter" und wählen Sie aus dem Navigationsmenü links die Option "Adaptereinstellungen ändern". 3. Aktivieren Sie im Dialog "Eigenschaften von LAN-Verbindung" das Optionskästchen "Internetprotokoll Version 4 (TCP/IPv4)". 4. Klicken Sie auf die Schaltfläche "Eigenschaften". 5. Wählen Sie im Dialog "Eigenschaften von Internetprotokoll Version 4 (TCP/IPv4)" das Optionsfeld "Folgende IP-Adresse verwenden:" aus. 22 Getting Started, 04/2015, C79000-G8900-C287-04

23 IP-Adressen für SCALANCE S623 projektieren 3.4 Projekt und Security-Baugruppe anlegen 6. Geben Sie die dem PC zugeordneten Werte aus der Tabelle "IP-Einstellungen des PCs einrichten" in die dafür vorgesehenen Felder ein. 7. Schließen Sie die Dialoge mit "OK" ab und schließen Sie die Systemsteuerung. 3.4 Projekt und Security-Baugruppe anlegen Gehen Sie so vor: 1. Installieren Sie die Projektierungssoftware Security Configuration Tool auf dem PC. 2. Starten Sie die Projektierungssoftware. 3. Wählen Sie den Menübefehl "Projekt" > "Neu...". 4. Legen Sie im folgenden Dialog einen neuen Benutzer mit Benutzernamen und dazugehörigem Passwort an. Dem Benutzer wird automatisch die Rolle "Administrator" zugewiesen. 5. Bestätigen Sie Ihre Eingabe mit "OK". Ergebnis: Ein neues Projekt ist angelegt. Der Dialog "Auswahl einer Baugruppe oder Softwarekonfiguration" öffnet sich. 6. Wählen Sie in den Bereichen "Produkttyp", "Baugruppe" und "Firmwarerelease" die folgenden Optionen: Produkttyp: SCALANCE S Baugruppe: S623 Firmwarerelease: V4 7. Geben Sie im Bereich "Konfiguration" die MAC-Adresse im vorgegebenen Format ein. Die MAC-Adresse ist auf der Frontseite der SCALANCE S-Baugruppe aufgedruckt (siehe Bild). Getting Started, 04/2015, C79000-G8900-C

24 IP-Adressen für SCALANCE S623 projektieren 3.5 Konfiguration auf Security-Baugruppe laden 8. Geben Sie im Bereich "Konfiguration" die externe IP-Adresse ( ) und die externe Subnetzmaske ( ) ein. 9. Wählen Sie aus der Klappliste "Schnittstellenrouting Intern/Extern" den Eintrag Routing- Modus. 10.Geben Sie die interne IP-Adresse ( ) und die interne Subnetzmaske ( ) ein und bestätigen Sie mit "OK". 11.Selektieren Sie die angelegte Security-Baugruppe und wählen Sie den Menübefehl "Bearbeiten" > "Eigenschaften...", Register "Schnittstellen". 12.Aktivieren Sie im Bereich "DMZ-Port (X3)" das Kontrollkästchen "Schnittstelle aktivieren" und geben Sie die IP-Adresse ( ) und die Subnetzmaske ( ) für die DMZ-Schnittstelle ein. 13.Bestätigen Sie mit "OK". 3.5 Konfiguration auf Security-Baugruppe laden Gehen Sie so vor: 1. Wählen Sie den Menübefehl "Projekt" > "Speichern". 2. Selektieren Sie im Inhaltsbereich die Security-Baugruppe. 3. Wählen Sie den Menübefehl "Übertragen" > "An Baugruppe(n)...". 4. Starten Sie den Ladevorgang über die Schaltfläche "Starten". 24 Getting Started, 04/2015, C79000-G8900-C287-04

25 IP-Adressen für SCALANCE S623 projektieren 3.5 Konfiguration auf Security-Baugruppe laden Wurde der Ladevorgang fehlerfrei abgeschlossen, wird die SCALANCE S Baugruppe automatisch neu gestartet und die neue Konfiguration aktiviert. Ergebnis: SCALANCE S im Produktivbetrieb SCALANCE S befindet sich jetzt im Produktivbetrieb. Dieser Betriebszustand wird von der Fault-Anzeige durch grünes Licht signalisiert. Sie können nun Konfigurationen über alle Schnittstellen laden und dabei ggf. die projektierten IP-Adressen verändern. Getting Started, 04/2015, C79000-G8900-C

26 IP-Adressen für SCALANCE S623 projektieren 3.5 Konfiguration auf Security-Baugruppe laden 26 Getting Started, 04/2015, C79000-G8900-C287-04

27 Firewall im Standard Modus Beispiel mit einem SCALANCE S Übersicht In diesem Beispiel projektieren Sie die Firewall in der Projektierungssicht "Standard Modus". Der Standard Modus beinhaltet vordefinierte Regeln für den Datenverkehr. Sie erreichen mit dieser Konfiguration, dass IP-Verkehr nur vom internen Netz initiiert werden kann; aus dem externen Netz wird nur die Antwort zugelassen. Aufbau des Testnetzes Internes Netzwerk - Anschluss an der internen Schnittstelle der Security-Baugruppe Im internen Netzwerk wird im Testaufbau der Netzknoten durch einen PC realisiert, der an der internen Schnittstelle der Security-Baugruppe angeschlossen ist. PC2: Repräsentiert einen Teilnehmer des internen Netzwerks Getting Started, 04/2015, C79000-G8900-C

28 Firewall im Standard Modus 4.1 Beispiel mit einem SCALANCE S Security-Baugruppe: SCALANCE S-Baugruppe zum Schutz des internen Netzwerks Externes Netzwerk - Anschluss an der externen Schnittstelle der Security-Baugruppe Das öffentliche, externe Netzwerk wird an der externen Schnittstelle der Security- Baugruppe angeschlossen. PC1: PC mit der Konfigurationssoftware Security Configuration Tool Erforderliche Geräte/Komponenten: Für den Aufbau verwenden Sie folgende Komponenten: 1x SCALANCE S, (zusätzlich optional: eine entsprechend montierte Hutschiene mit Montagematerial) 1x 24V-Stromversorgung mit Kabelverbindung und Klemmenblockstecker 1x PC im externen Netz, auf dem das Projektierungswerkzeug Security Configuration Tool installiert ist 1x PC im internen Netz für den Test der Konfiguration die nötigen Netzwerkkabel, TP-Kabel (Twisted Pair) nach dem Standard IE FC RJ45 für Industrial Ethernet Die folgenden Schritte in der Übersicht: SCALANCE S und Netzwerk einrichten Gehen Sie so vor: 1. Packen Sie zunächst den SCALANCE S aus und überprüfen Sie den unbeschädigten Zustand. 2. Schließen Sie die Spannungsversorgung an den SCALANCE S an. Ergebnis: Nach dem Anschließen der Betriebsspannung leuchtet die Fault-LED (F) gelb. 28 Getting Started, 04/2015, C79000-G8900-C287-04

29 Firewall im Standard Modus 4.1 Beispiel mit einem SCALANCE S WARNUNG Nur Sicherheitskleinspannung verwenden Das Gerät SCALANCE S ist für den Betrieb mit Sicherheitskleinspannung ausgelegt. Entsprechend dürfen an die Versorgungsanschlüsse nur Sicherheitskleinspannungen (SELV) nach IEC950/EN60950/VDE0805 angeschlossen werden. Das Netzteil für die Versorgung des SCALANCE S muss NEC Class 2 entsprechen (Spannungsbereich V, Strombedarf ca. 250 ma). 1. Stellen Sie jetzt die physikalischen Netzwerkverbindungen her, indem Sie die Stecker der Netzwerkkabel mit den dafür vorgesehenen Schnittstellen verbinden: Verbinden Sie PC2 mit der internen Schnittstelle der Security-Baugruppe. Verbinden Sie PC1 mit der externen Schnittstelle der Security-Baugruppe. 2. Schalten Sie jetzt die beteiligten PCs ein. Hinweis Die Ethernet-Schnittstellen werden vom SCALANCE S unterschiedlich behandelt und dürfen beim Anschluss an das Kommunikationsnetzwerk nicht verwechselt werden: Schnittstelle X1 - External Network Rote Markierung = ungeschützter Netzwerkbereich; Schnittstelle X2 - Internal Network Grüne Markierung = durch SCALANCE S geschütztes Netzwerk; Beim Vertauschen der Schnittstellen verliert das Gerät seine Schutzfunktion IP-Einstellungen der PCs einrichten Die PCs erhalten für den Test folgende IP-Adresseinstellungen: PC IP-Adresse Subnetzmaske PC PC Gehen Sie dazu bei PC1 und PC2 folgendermaßen vor: 1. Öffnen Sie auf dem betreffenden PC mit dem Menübefehl "Start" > "Systemsteuerung" die Systemsteuerung. 2. Öffnen Sie das Symbol "Netzwerk und Freigabecenter" und wählen Sie aus dem Navigationsmenü links die Option "Adaptereinstellungen ändern". 3. Aktivieren Sie im Dialog "Eigenschaften von LAN-Verbindung" das Optionskästchen "Internetprotokoll Version 4 (TCP/IPv4)". Getting Started, 04/2015, C79000-G8900-C

30 Firewall im Standard Modus 4.1 Beispiel mit einem SCALANCE S 4. Klicken Sie auf die Schaltfläche "Eigenschaften". 5. Wählen Sie im Dialog "Eigenschaften von Internetprotokoll Version 4 (TCP/IPv4)" das Optionsfeld "Folgende IP-Adresse verwenden:" aus. 6. Geben Sie jetzt die dem PC zugeordneten Werte aus der Tabelle "IP-Einstellungen der PCs einrichten" in die dafür vorgesehenen Felder ein. 7. Schließen Sie die Dialoge mit "OK" ab und schließen Sie die Systemsteuerung Projekt und Security-Baugruppe anlegen Gehen Sie so vor: 1. Installieren und starten Sie die Projektierungssoftware Security Configuration Tool auf PC1. 2. Wählen Sie den Menübefehl "Projekt" > "Neu...". 3. Legen Sie im folgenden Dialog einen neuen Benutzer mit Benutzernamen und dazugehörigem Passwort an. Dem Benutzer wird automatisch die Rolle "Administrator" zugewiesen. 30 Getting Started, 04/2015, C79000-G8900-C287-04

31 Firewall im Standard Modus 4.1 Beispiel mit einem SCALANCE S 4. Bestätigen Sie Ihre Eingabe mit "OK". Ergebnis: Ein neues Projekt ist angelegt. Der Dialog "Auswahl einer Baugruppe oder Softwarekonfiguration" öffnet sich. 5. Wählen Sie in den Bereichen "Produkttyp", "Baugruppe" und Firmwarerelease" die folgenden Optionen: Produkttyp: SCALANCE S Baugruppe: S612 Firmwarerelease: V4 6. Geben Sie im Bereich "Konfiguration" die MAC-Adresse im vorgegebenen Format ein. Die MAC-Adresse ist auf der Frontseite der SCALANCE S-Baugruppe aufgedruckt. 7. Geben Sie im Bereich "Konfiguration" die externe IP-Adresse ( ) und die externe Subnetzmaske ( ) im vorgegebenen Format ein und bestätigen Sie den Dialog mit "OK" Firewall projektieren Im Standard Modus ist eine einfache Bedienung der Firewall-Einstellungen durch vordefinierte Regeln gegeben. Durch Anklicken können diese Regeln aktiviert werden. Gehen Sie so vor: 1. Selektieren Sie im Inhaltsbereich die Security-Baugruppe. 2. Wählen Sie den Menübefehl "Bearbeiten" > "Eigenschaften ". 3. Wählen Sie im aufgeblendeten Dialog das Register "Firewall". Getting Started, 04/2015, C79000-G8900-C

32 Firewall im Standard Modus 4.1 Beispiel mit einem SCALANCE S 4. Aktivieren Sie die nachfolgend dargestellten Einstellungen: Ergebnis: Der IP-Verkehr kann nur vom internen Netzwerk aus initiiert werden; aus dem externen Netzwerk wird nur die Antwort zugelassen. 5. Wählen Sie zusätzlich die Log-Option an, um den Datenverkehr aufzuzeichnen. 6. Schließen Sie den Dialog mit "OK" ab. 7. Speichern Sie das Projekt mit dem Menübefehl "Projekt" > "Speichern" ab. 32 Getting Started, 04/2015, C79000-G8900-C287-04

33 Firewall im Standard Modus 4.1 Beispiel mit einem SCALANCE S Konfiguration auf Security-Baugruppe laden Gehen Sie so vor: 1. Selektieren Sie im Inhaltsbereich die Security-Baugruppe. 2. Wählen Sie den Menübefehl "Übertragen" > "An Baugruppe(n) ". 3. Starten Sie den Ladevorgang über die Schaltfläche "Starten". Wurde der Ladevorgang fehlerfrei abgeschlossen, wird die SCALANCE S-Baugruppe automatisch neu gestartet und die neue Konfiguration aktiviert. Ergebnis: SCALANCE S im Produktivbetrieb SCALANCE S befindet sich jetzt im Produktivbetrieb. Dieser Betriebszustand wird von der Fault-Anzeige durch grünes Licht signalisiert. Die Inbetriebsetzung der Konfiguration ist damit abgeschlossen und SCALANCE S schützt jetzt über die eingerichtete Firewall das interne Netz (PC2) Firewallfunktion testen (Ping-Test) Wie können Sie die konfigurierte Funktion testen? Die Funktionstests können Sie wie nachfolgend beschrieben mit einem Ping-Kommando durchführen. Alternativ können Sie auch andere Kommunikationsprogramme für den Test der Konfiguration verwenden. Hinweis Bei Windows kann die Firewall standardmäßig so eingestellt sein, dass Ping-Kommandos nicht passieren können. Sie müssen ggf. die ICMP-Dienste vom Typ "Request" und "Response" freischalten. Getting Started, 04/2015, C79000-G8900-C

34 Firewall im Standard Modus 4.1 Beispiel mit einem SCALANCE S Testabschnitt 1 Testen Sie nun die Funktion der Firewall-Konfiguration zunächst für den zugelassenen initiativen IP-Datenverkehr aus dem internen Netz wie folgt: 1. Rufen Sie auf dem PC2 in der Startleiste den Menübefehl "Start" > "Alle Programme" > "Zubehör" > "Eingabeaufforderung" auf. 2. Eingabe des Ping-Kommandos von PC2 an den PC1 (IP-Adresse ) Geben Sie unmittelbar in die Kommandozeile des aufgeblendeten Fensters "Eingabeaufforderung", an der Cursor-Position, den Befehl "ping " ein. Sie erhalten folgende Meldung (positive Antwort von PC1): Ergebnis Wenn die IP-Telegramme PC1 erreicht haben, gibt die "Ping-Statistik" für Folgendes aus: Gesendet = 4 Empfangen = 4 Verloren = 0 (0% Verlust) Die Ping-Telegramme konnten aufgrund der Projektierung vom internen Netz ins externe Netz gelangen. Der PC im externen Netz hat auf die Ping-Telegramme geantwortet. Durch die "Stateful-Inspection"-Funktion der Firewall werden die Antworttelegramme, die nun vom externen Netz kommen, automatisch ins interne Netz zugelassen. 34 Getting Started, 04/2015, C79000-G8900-C287-04

35 Firewall im Standard Modus 4.1 Beispiel mit einem SCALANCE S Testabschnitt 2 Testen Sie nun die Funktion der Firewall-Konfiguration für den gesperrten initiativen IP- Datenverkehr aus dem externen Netz wie folgt: 1. Rufen Sie auf dem PC1 in der Startleiste den Menübefehl "Start" > "Alle Programme" > "Zubehör" > "Eingabeaufforderung" auf. 2. Eingabe des Ping-Kommandos von PC1 an den PC2 (IP-Adresse ) Geben Sie unmittelbar in die Kommandozeile des aufgeblendeten Fensters "Eingabeaufforderung", an der Cursor-Position, den Befehl "ping " ein. Sie erhalten folgende Meldung (keine Antwort von PC2): Ergebnis Die IP-Telegramme von PC1 können PC2 nicht erreichen, da der Datenverkehr aus dem "externen Netz" (PC1) zum "internen" Netz (PC2) nicht erlaubt ist. Das wird in der "Ping-Statistik" für folgendermaßen angegeben: Gesendet = 4 Empfangen = 0 Verloren = 4 (100% Verlust) Firewall-Datenverkehr aufzeichnen (Logging) Bei den Security-Baugruppen ist standardmäßig die lokale Aufzeichnung von System-, Audit-Ereignissen eingeschaltet. Zusätzlich haben Sie im Verlauf dieses Beispiels bei der Firewall-Projektierung die Log- Option für den entsprechenden Datenverkehr aktiviert. Sie können im Online-Modus die aufgezeichneten Ereignisse ausgeben lassen. Gehen Sie so vor: 1. Wechseln Sie auf PC1 im Security Configuration Tool mit dem Menübefehl "Ansicht" > "Online" in die Online-Betriebsart. 2. Wählen Sie den Menübefehl "Bearbeiten" > "Online-Diagnose ". 3. Wählen Sie das Register "Paketfilter-Log". Getting Started, 04/2015, C79000-G8900-C

36 Firewall im Standard Modus 4.1 Beispiel mit einem SCALANCE S 4. Betätigen Sie die Schaltfläche "Starte Lesen". 5. Quittieren Sie den aufgeblendeten Dialog mit "OK". Ergebnis: Die Log-Einträge werden aus der Security-Baugruppe ausgelesen und hier ausgegeben. 36 Getting Started, 04/2015, C79000-G8900-C287-04

37 Firewall im Standard Modus 4.2 Beispiel mit einem CP x43-1 Advanced 4.2 Beispiel mit einem CP x43-1 Advanced Übersicht In diesem Beispiel projektieren Sie die Firewall in der Projektierungssicht "Standard Modus". Der Standard Modus beinhaltet vordefinierte Regeln für den Datenverkehr. Sie erreichen mit dieser Konfiguration, dass IP-Verkehr nur vom internen Netz sowie von der Station initiiert werden kann; aus dem externen Netz wird nur die Antwort zugelassen. Hinweis Bitte beachten Sie, dass nach dem Laden der Projektierung Ihre Station nur noch erreichbar ist, wenn in der Firewall das S7-Protokoll (TCP-Port 102) von "Extern => Station" freigegeben ist. Eine unverschlüsselte Kommunikation aus dem externen Netz sollte nach der Inbetriebnahme vermieden werden. Wenn Sie keinen sicheren Verbindungsaufbau über VPN vom externen Netz verwenden, sollten Sie STEP7-Diagnose und Umprojektierung nur aus dem internen Netz durchführen. Aus diesem Grund wird im folgenden Beispiel der Port für die S7-Kommunikation in der Firewall nicht geöffnet. Aufbau des Testnetzes Getting Started, 04/2015, C79000-G8900-C

38 Firewall im Standard Modus 4.2 Beispiel mit einem CP x43-1 Advanced Internes Netzwerk - Anschluss an der internen Schnittstelle der Security-Baugruppe Im internen Netzwerk wird im Testaufbau der Netzknoten durch einen PC realisiert, der an der internen Schnittstelle der Security-Baugruppe angeschlossen ist. PC2: Repräsentiert einen Teilnehmer des internen Netzwerks Security-Baugruppe: CP x43-1 Adv. zum Schutz des internen Netzwerks Externes Netzwerk - Anschluss an der externen Schnittstelle der Security-Baugruppe Das öffentliche, externe Netzwerk wird an der externen Schnittstelle der Security- Baugruppe angeschlossen. PC1: PC mit der Konfigurationssoftware Security Configuration Tool und STEP 7 Voraussetzung: Um das Beispiel durchführen zu können, müssen die folgenden Voraussetzungen erfüllt sein: Die Projektierungssoftware Security Configuration Tool ist auf PC1 installiert. STEP 7 ist auf PC1 installiert und es ist bereits ein STEP 7 Projekt mit der Security- Baugruppe angelegt. Die IP-Adresse von PC1 muss im selben Subnetz liegen wie die Gigabit-Adresse der Security-Baugruppe. CP x43-1 Adv. hat in STEP 7 die folgenden Einstellungen: Gigabit IP-Adresse: , Subnetzmaske: PROFINET IP-Adresse: , Subnetzmaske: Die folgenden Schritte in der Übersicht: 38 Getting Started, 04/2015, C79000-G8900-C287-04

39 Firewall im Standard Modus 4.2 Beispiel mit einem CP x43-1 Advanced IP-Einstellungen der PCs einrichten Die PCs erhalten für den Test folgende IP-Adresseinstellungen: PC IP-Adresse Subnetzmaske Standardgateway PC PC Gehen Sie dazu jeweils bei PC1 und PC2 folgendermaßen vor: 1. Öffnen Sie auf dem betreffenden PC mit dem Menübefehl "Start" > "Systemsteuerung" die Systemsteuerung. 2. Öffnen Sie das Symbol "Netzwerk und Freigabecenter" und wählen Sie aus dem Navigationsmenü links die Option "Adaptereinstellungen ändern". 3. Aktivieren Sie im Dialog "Eigenschaften von LAN-Verbindung" das Optionskästchen "Internetprotokoll Version 4 (TCP/IPv4)". 4. Klicken Sie auf die Schaltfläche "Eigenschaften". 5. Wählen Sie im Dialog "Eigenschaften von Internetprotokoll Version 4 (TCP/IPv4)" das Optionsfeld "Folgende IP-Adresse verwenden:" aus. Getting Started, 04/2015, C79000-G8900-C

40 Firewall im Standard Modus 4.2 Beispiel mit einem CP x43-1 Advanced 6. Geben Sie jetzt die dem PC zugeordneten Werte aus der Tabelle "IP-Einstellungen der PCs einrichten" in die dafür vorgesehenen Felder ein. 7. Schließen Sie die Dialoge mit "OK" ab und schließen Sie die Systemsteuerung Projekt und Security-Baugruppe anlegen Gehen Sie so vor: 1. Aktivieren Sie in den Objekteigenschaften im Register "Security" das Optionskästchen "Security aktivieren". 2. Legen Sie im folgenden Dialog einen neuen Benutzer mit Benutzernamen und dazugehörigem Passwort an. Dem Benutzer wird automatisch die Rolle "Administrator" zugewiesen. Bestätigen Sie Ihre Eingabe mit "OK". Ergebnis: Ein neues Security-Projekt ist angelegt. 3. Öffnen Sie in HW Konfig das Security Configuration Tool über den Menübefehl "Bearbeiten" > "Security Configuration Tool". Ergebnis: Die Security-Baugruppe wird in der Liste der konfigurierten Baugruppen angezeigt Firewall projektieren Im Standard Modus ist eine einfache Bedienung der Firewall-Einstellungen durch vordefinierte Regeln gegeben. Durch Anklicken können diese Regeln aktiviert werden. Gehen Sie so vor: 1. Selektieren Sie im Inhaltsbereich die Security-Baugruppe. 2. Wählen Sie den Menübefehl "Bearbeiten" > "Eigenschaften ". 3. Wählen Sie im aufgeblendeten Dialog das Register "Firewall". 40 Getting Started, 04/2015, C79000-G8900-C287-04

41 Firewall im Standard Modus 4.2 Beispiel mit einem CP x43-1 Advanced 4. Aktivieren Sie das Kontrollkästchen "Firewall aktivieren". 5. Aktivieren Sie die nachfolgend dargestellten Einstellungen: Ergebnis: Der IP-Verkehr kann vom internen Netzwerk sowie von der Station initiiert werden; aus dem externen Netzwerk wird nur die Antwort zugelassen. Der Zugriff über HTTPS zur Online-Diagnose von PC1 auf die Security-Baugruppe ist zugelassen. 6. Wählen Sie zusätzlich die Log-Option an, um den entsprechenden Datenverkehr aufzuzeichnen. 7. Schließen Sie den Dialog mit "OK" ab Konfiguration auf Security-Baugruppe laden Gehen Sie so vor: 1. Schließen Sie das Security Configuration Tool. 2. Wählen Sie in HW Konfig das Menü "Station" > "Speichern und Übersetzen". 3. Laden Sie die neue Konfiguration über das Menü "Zielsystem" > "Laden in Baugruppe..." auf die Security-Baugruppe. Wurde der Ladevorgang fehlerfrei abgeschlossen, startet die Security-Baugruppe automatisch und die neue Konfiguration ist aktiviert. Getting Started, 04/2015, C79000-G8900-C

42 Firewall im Standard Modus 4.2 Beispiel mit einem CP x43-1 Advanced Ergebnis: Security-Baugruppe im Produktivbetrieb Die Inbetriebsetzung der Konfiguration ist abgeschlossen. Die Security-Baugruppe schützt das interne Netz (PC2). Ausgehender IP-Verkehr vom internen ins externe Netz ist erlaubt Firewallfunktion testen (Ping-Test) Wie können Sie die konfigurierte Funktion testen? Die Funktionstests können Sie wie nachfolgend beschrieben mit einem Ping-Kommando durchführen. Alternativ können Sie auch andere Kommunikationsprogramme für den Test der Konfiguration verwenden. Hinweis Bei Windows kann die Firewall standardmäßig so eingestellt sein, dass Ping-Kommandos nicht passieren können. Sie müssen ggf. die ICMP-Dienste vom Typ "Request" und "Response" freischalten. Testabschnitt 1 Testen Sie nun die Funktion der Firewall-Konfiguration zunächst bei zugelassenem ausgehenden IP-Datenverkehr wie folgt: 1. Rufen Sie auf dem PC2 in der Startleiste den Menübefehl "Start" > "Alle Programme" > "Zubehör" > "Eingabeaufforderung" auf. 2. Eingabe des Ping-Kommandos von PC2 an den PC1 (IP-Adresse ) Geben Sie unmittelbar in die Kommandozeile des aufgeblendeten Fensters "Eingabeaufforderung", an der Cursor-Position, den Befehl "ping " ein. Sie erhalten folgende Meldung (positive Antwort von PC1): 42 Getting Started, 04/2015, C79000-G8900-C287-04