Fitmachertage bei Siemens PROFINET. Fit in den Frühling mit Siemens PROFINET. Siemens AG Alle Rechte vorbehalten. Industry Sector.

Transkript

1 Fitmachertage bei Siemens PROFINET Fit in den Frühling mit Siemens PROFINET Seite 1 / 24

2 13:15 14:45 Uhr PROFINET PROFINET-Fernwartung & Security Reiner Windholz

3 Inhalt Fernwartung über Telefon Fernwartung über Internet Port Forwarding /

4 Flexible Servicestrategien Übersicht Serviceszenarien Fernzugriff Seite 5 / 24 Zugriff über das Telefonnetz mit TeleService Adapter PG / PC Telefonnetz TS Adapter Mobil Remote Zugriff über das Internet PG / PC Internet (WAN) Zugriff innerhalb einer Anlage aus anderem Subnetz Teilnehmer des anderen Subnetzes Gateway SIMATIC Controller SIMATIC HMI SIMATIC IPC SIMATIC NET

5 Fernwartung mit S7- PG dient für Eingriffe in die SPS oder als OS zur Visualisierung STEP STEP TeleService TeleService MPI/ Profibus TS-Adapter TS-Adapter II II ISDN analog, digital, MD720 MD720 GSM SIM: CSD-Verfahren, leitungsvermittelter Datendienst. CSD in Nordamerika nicht möglich Seite 6 / 24

6 Fernwartung mit S7- MPI/ Profibus PG wird als Teilnehmer auf das Industrial Ethernet geschaltet STEP STEP TeleService TeleService Industrial Ethernet TS-Adapter TS-Adapter IE IE ISDN analog, digital, MD720 MD720 Seite 7 / 24 Routingfunktionalität der PG Funktionen bleibt erhalten, damit Zugriff auch über Netzwerkgrenzen hinaus möglich! GSM SIM: CSD-Verfahren, leitungsvermittelter Datendienst. CSD in Nordamerika nicht möglich!

7 Flexible Servicestrategien Übersicht Serviceszenarien Fernzugriff Seite 8 / 24 Zugriff über das Telefonnetz mit TeleService Adapter PG / PC Telefonnetz TS Adapter Mobil Remote Zugriff über das Internet PG / PC Internet (WAN) Zugriff innerhalb einer Anlage aus anderem Subnetz Teilnehmer des anderen Subnetzes Gateway SIMATIC Controller SIMATIC HMI SIMATIC IPC SIMATIC NET

8 Remote Verbindungen über das Internet auf die Anlage / Mit Online-Verbindungen können Funktionen wie: Diagnose Fernwartung Fernprogrammierung Bedienen und Beobachten genutzt werden. Wichtig dabei ist die Sicherheit der Datenübertragung. Hinweis: Mit der Online-Verbindung zu einem SIMATIC Gerät sind verschiedene Serviceszenarien möglich. Diese Möglichkeiten werden in den Modulen Serviceszenarien beschrieben. Seite 9 / 24

9 Warum eine Remote Verbindung über das Internet auf die Anlage? / Weltweite Fernwartung Schnelle Reaktion auf Störungen Vorbeugende Wartung Minimierung der Kosten durch kurze / keine Stillstandzeiten Kurze, einfache Inbetriebsetzung Minimierung der Reisekosten Minimierung der Wartezeiten bis der Service-Engineer vor Ort ist Auf die Industrie-Automatisierung abgestimmte Lösungen verfügbar Maschine X: HMI Fernwartungs GmbH & Co.KG Motion Control S7 PLC Proxy Öffentliches Netz Other fieldbuses Nutzen Sie vorhandenes Equipment um die Remote Verbindung aufzubauen. Seite 10 / 24

10 Die Herausforderung im Internet Kundenanforderung Schutz vor: Spionage Datenmanipulation Wiederholtem Senden (Replay-Attacken) Unsere Lösung Virtual Private Network über IPSec Protokoll SCALANCE S 612 SCALANCE S 613 SOFTNET Security Client MD741-1 SCALANCE S 612 SCALANCE S 613 SOFTNET Security Client MD741-1 Hohe Datensicherheit mittels privaten VPN Seite 11 / 24

11 Was ist ein Virtual Private Network? / Virtual Private Network (VPN) ist eine abgeschirmte Verbindung für Kommunikation durch ein unsicheres Netzwerk (z.b. Internet) Geschützte Kommunikation wird durch folgenden Faktoren ermöglicht: Verschlüsselte Datenpakete Authentifizierung (Überprüfung der Identität des Gegenübers) Authentisierung der Teilnehmer (Nachweis der eigenen Identität) Geschützte Kommunikation zwischen Anlagen und Systemen, somit sind Datenverfälschungen und Zugriff von Dritten nicht möglich. Seite 12 / 24

12 Verschlüsselung & Authentifizierungsmethoden / Pre-Shared Key (Ver- /Entschlüsselung durch einen geheimen Schlüssel) X.509 Zertifikate Privater Schlüssel & Öffentlicher Schlüssel für jeden Teilnehmer CA Zertifikat (Garantiert die Echtheit des öffentlichen Schlüssels) Service Zentrale (S.Z.) Automatisierungszelle(A.Z.) Öffentlicher Schlüssel A.Z. Öffentlicher Schlüssel S.Z. Privater Schlüssel S.Z. Privater Schlüssel A.Z. Seite 13 / 24

13 Kommunikation über VPN mit SCALANCE S und SOFTNET Security Client Service Zentrale SOFTNET Security Client DSL-Router A Internet DSL-Router B / SCALANCE S VPN Server Automatisierungszelle Die Service Zentrale baut den Tunnel zu SCALANCE S auf der Anlage auf. Die Daten werden durch den Tunnel verschlüsselt gesendet. Seite 14 / 24

14 Konfiguration des VPN Tunnels / Drag& Drop Einrichten der VPN Gruppe und Einfügen der Module in der Gruppe Seite 15 / 24

15 VPN- Geräte laden / Laden der Security Konfiguration der VPN- Geräten Seite 16 / 24

16 Kommunikation über VPN mit SCALANCE S Internet / DSL-Router A DSL-Router B SCALANCE S SCALANCE S Service Zentrale Automatisierungszelle Der SCALANCE S kann als VPN-Server oder VPN-Client verwendet werden. Seite 17 / 24

17 Pro & Contra der Internet-Lösungen Port-Forwarding VPN-fähiger DSL-Router VPN mit SCALANCE S Kostengünstige Lösung, da keine zusätzliche Hardware / Software benötigt wird Pro Port ist nur ein Zielteilnehmer im privaten Netzwerk erreichbar Keine zusätzliche Hardware benötigt, wenn VPN- fähige DSL Router bereits vorhanden sind IT Wissen für die Konfiguration der VPN-fähigen DSL Router Einfache Projektierung ohne erforderliches IT-Wissen Industrietauglicher, robuster Aufbau Bis zu 128 VPN- Verbindungen möglich VPN mit SCALANCE S - Die optimale Lösung für Industrieanwendungen Seite 18 / 24

18 Gesicherter Zugriff über VPN mit SCALANCE S & MD741-1 / Service Zentrale DSL-Router SCALANCE S VPN Server Internet / VPN Client Geschützte Anlage MD741-1 Der -Router MD741-1 (VPN-Client) ermöglicht den Service auf Anlagen, zu denen keine festen Telefonleitungen möglich sind. Seite 19 / 24

19 VPN mit SCALANCE S & MD741-1 Benötigtes Equipment für diese Lösung / Service Zentrale Standard DSL-Router SCALANCE S612/613 Öffentliche feste IP Adresse vom DSL-Provider oder Dynamische IP Adresse auf mit DynDNS Anlage MD Router GPRS/-fähige SIM-Karte Antenne ANT 974-4MR Flexible und kostengünstige Lösung, da kein Internet Zugang für die Anlage erforderlich ist. Seite 20 / 24

20 Gesicherter Zugriff über Internet/ an mehrere Anlagen Service Zentrale DSL-Router / DSL-Router SCALANCE S VPN Server VPN Tunnel 1 VPN Tunnel 2 MD741-1 SCALANCE S VPN Client Internet / VPN Client Automatisierungszelle A Automatisierungszelle B Seite 21 / 24

21 Die Vorteile auf einen Blick! / Virtual Private Networks Lösung für sicheren Zugriff auf die Anlage über das Internet Schutz vor Datenmanipulation und Spionage Mit SCALANCE S613 können bis zu 128 VPN-Verbindungen gleichzeitig aufgebaut werden Gleichzeitiger Zugriff auf mehrere Anlagen wird damit ermöglicht, ohne Wartezeiten für den Verbindungsaufbau Router MD für Anlagen ohne festem Internet Anschluss Kostengünstige Lösung ohne verbindliche Internetverträge auf der Anlage Seite 22 / 24

22 smöglichkeit aus der Praxis / Service Zentrale DSL-Router Service-PCs Internet / Mobiles Service-Laptop SOFTNET Security Client VPN Client Gesicherte RemoteDesktop-Verbindung Service-Verbindungen Maschine X: Maschine Y: Maschine N: HMI HMI VPN Client HMI Motion Control S7 PLC Proxy Motion Control S7 PLC Proxy Motion Control S7 PLC Proxy Other fieldbuses Other fieldbuses Other fieldbuses Zentrale Datenhaltung in der Service Zentrale um unterschiedliche Versionen der STEP7-Projekte zu vermeiden. Seite 23 / 24

23 Vielen Dank für Ihre Aufmerksamkeit! Siemens AG GER I IA&DT SDW BU IA PROM Industrielle Kommunikation Reiner Windholz Weissacherstr Stuttgart Tel.: Fax: reiner.windholz@siemens.com