FAQ zur Kommunikation

Transkript

1 FAQ zur Kommunikation Aufbau eines VPN-Tunnels zwischen PC-Station und SCALANCE S 61x über das Internet mit der Microsoft Management Console FAQ

2 Inhaltsverzeichnis Inhaltsverzeichnis Der IPSec-Tunnel Konfiguration - Übersicht Konfiguration des Gateways in der SPS Konfiguration des Gateways in der PC-Station Konfiguration der Standard DSL-Router Konfiguration des Standard DSL-Router A (an PC-Station angeschlossen) Konfiguration des Standard DSL-Router B (an SCALANCE S angeschlossen)9 4 Konfiguration des IPSec Kanals mit der Microsoft Management Console Snap-In hinzufügen IP-Sicherheitsrichtlinie erstellen Sicherheitsmethoden hinzufügen bzw. bearbeiten Sicherheitsregel für den Datenverkehr von der PC-Station zum SCALANCE S 61x hinzufügen IP-Filter anlegen Filteraktion anlegen und zuordnen Authentifizierungsmethode definieren Tunneleinstellungen definieren Sicherheitsregel für den Datenverkehr vom SCALANCE S 61x zur PC-Station hinzufügen IP-Filter anlegen Filteraktion zuordnen Authentifizierungsmethode Tunneleinstellungen definieren Konfiguration des SCALANCE S 61x VPN-Tunnel aufbauen IPSec Dienste überprüfen IPSec-Tunnel aufbauen Status des IPSec-Tunnels überprüfen Historie Dieser Beitrag stammt aus dem Internet der Siemens AG, Automation and Drives, Service & Support. Durch den folgenden Link gelangen Sie direkt zur Downloadseite dieses Dokuments. V /38

3 Frage Wie wird ein VPN-Tunnel zwischen der PC-Station mit Windows XP SP2 und einem SCALANCE S 61x V2.1 über das Internet mit der Microsoft Management Console konfiguriert? Antwort Es ist möglich einen VPN-Tunnel von der PC-Station mit Windows XP SP2 zu einem SCALANCE S 61x V2.1 im Routing Modus über das Internet aufzubauen. Für die Konfiguration des VPN-Tunnels werden die Microsoft Management Console und das Security Configuration Tool verwendet. Voraussetzungen hierfür sind: Zur Unterstützung des Tunnelaufbaus über Internet im Routing Modus wird der SCALANCE S 61x mit der Firmware V2.1 und das Security Configuration Tool V2.1 benötigt. Unter folgender Beitrags-ID finden Sie das Download der Firmware V2.1 für den SCALANCE S 61x: Die Standard DSL-Router A und B müssen die Funktionen NAT-T (network address translation-tranversal) und NAPT (network address port translation) unterstützen. Es wird eine feste externe IP-Adresse für den Standard DSL-Router B benötigt, die am passiven SCALANCE S 61x parametriert werden muss. Passiv bedeutet hier, dass der SCALANCE S 61x wartet bis die Gegenstelle den Tunnelaufbau initiiert. Es wird eine PC-Station mit Windows XP SP2 benötigt, welche den Tunnelaufbau initiiert. V /38

4 1 Der IPSec-Tunnel Der SCALANCE S verwendet für die Tunnelung das IPSec-Protokoll. Der Datenaustausch über einen IPsec-Tunnel im VPN hat folgende Eigenschaften: Authentizität - Nur derjenige kann einen Tunnel aufbauen, der die Berechtigung dazu hat Integrität - Die ausgetauschten Daten sind verfälschungssicher Vertraulichkeit - Die ausgetauschten Daten sind abhörsicher Es werden schlüsselbasierende oder zertifikatsbasierende Authentifizierungsmethoden unterstützt: Preshared-Key Certificate Der SCALANCE S unterstützt die folgenden Verfahren zur Integritätsprüfung: SHA-1 - Secure Hash Algorithm 1 MD5 - Message Digest Version 5 Außerdem unterstützt der SCALANCE S zwei Verschlüsselungs- Algorithmen: DES - Data Encryption Standard 3DES - Dreifach-DES AES - Advanced Encrypting Standard (Dieser Verschlüsselungs- Algorithmus wird nur in Phase 2 des Datenaustauschs über IPSec vom SCALANCE S unterstützt.) Der Datenaustausch über den IPSec-Tunnel erfolgt in zwei Phasen: Phase1 - Schlüsselaustausch (IKE, Internet Key Exchange) Phase2 - Datenaustausch (ESP, Encapsulating Security Payload) Das IKE-Protokoll dient der automatischen Schlüsselverwaltung für IPsec. Es verwendet den Diffie-Hellman-Schlüsselaustausch für einen sicheren Austausch von Schlüsseln über ein unsicheres Netzwerk. Der Schlüsselaustausch erfolgt über eines der folgenden Schlüsselaustausch- Verfahren: Main Mode - Aggressive Mode Im Folgenden werden die einzelnen Konfigurationsschritte beschrieben, welche Sie durchführen müssen, um den VPN Tunnel über das Internet aufbauen können. V /38

5 Hierbei werden die folgenden Parameter für den Schlüsselaustausch (IKE, Internet Key Exchange) konfiguriert: Tabelle 1-1 IKE-Parameter IKE-Parameter Authentifizierungsmethode Verfahren zur Integritätsprüfung Verschlüsselungs-Algorithmus Schlüsselaustausch-Verfahren Diffie-Hellmann Preshared-Key SHA-1 3DES Main Mode DH2 Wert Für den Datenaustausch (ESP, Encapsulating Security Payload) werden die folgenden Parameter konfiguriert: Tabelle 1-2 ESP-Parameter ESP-Parameter Verfahren zur Integritätsprüfung Verschlüsselungs-Algorithmus Wert SHA-1 Dreifach-DES (3DES) V /38

6 VPN-Tunnel zwischen PC-Station mit Win XP SP2 und 2 Konfiguration - Übersicht Die Abbildung 2-1 zeigt den Aufbau der Konfiguration. Abbildung 2-1 Konfiguration Internet ISP 1 ISP 2 PC Station mit Windows XP SP2 und optional STEP 7 externe IP-Adresse vom ISP 1: interne IP-Adresse: Standard DSL-Router A Standard DSL-Router B feste externe IP-Adresse vom ISP2: interne IP-Adresse: SCALANCE S 61x CPU 315-2DP mit CP343-1 IP-Adresse: Default Gateway: geschützte Automatisierungszelle IP-Adresse: Default Gateway: VPN Tunnel (IPSec) externe IP-Adresse: interne IP-Adresse: Default Gateway: V /38

7 2.1 Konfiguration des Gateways in der SPS Die CPU 315-2DP mit dem CP befindet sich im internen Ethernet- Netz, welches durch den SCALANCE S 61x V2.1 geschützt wird. Hierbei ist der SCALANCE S 61x V2.1 Router bzw. Gateway für den CP Deshalb müssen Sie in den Eigenschaften der Ethernet-Schnittstelle des CP die interne IP-Adresse des SCALANCE S 61x V2.1 als Router bzw. Gateway eintragen Abbildung 2-2. Gateway bzw. Router in der S7-300 Steuerung angeben interne IP-Adresse des SCALANCE S 61x 2.2 Konfiguration des Gateways in der PC-Station Die PC-Station mit der IP-Adresse befindet sich im externen Ethernet-Netz des SCALANCE S 61x V2.1. Der Standard Router A ist Gateway bzw. Router für die PC-Station. Aus diesem Grund tragen Sie unter den Windows Netzwerkverbindungen in den Eigenschaften der Local Area Connection (LAN) die interne IP-Adresse des Standard Router A für das "Default Gateway" ein. Des Weiteren wird der Standard Router A als DNS Server für die PC-Station verwendet. Abbildung 2-3 Default Gateway in der PC-Station angeben IP-Adresse der PC-Station interne IP-Adresse des Standard Router A V /38

8 Hinweis Wenn der Standard-Router A DHCP fähig ist, kann der PC seine IP- Adresse und DNS-Server Adresse automatisch vom Router A erhalten. V /38

9 3 Konfiguration der Standard DSL-Router 3.1 Konfiguration des Standard DSL-Router A (an PC-Station angeschlossen) Am Standard DSL-Router A befindet sich auf der auf der aktiven Seite, d.h. die PC-Station initiiert den Aufbau des VPN-Tunnels. Daher müssen im Standard DSL-Router A keine PORT-Forwarding Regeln für die IPSec- Pakete der PC-Station konfiguriert werden. Optional kann aber bei festen IP-Adressen an der PC-Station das PORT- Forwarding so eingestellt werden, dass die UDP-Pakte vom Internet, welche an die Ports 500 und 4500 des Routers adressiert sind, an die Ports 500 und 4500 der angeschlossenen PC-Station gesendet werden. Dies bedeutet: Am Standard DSL-Router A wird die IP-Adresse der PC-Station angegeben Abbildung 3-1. Portweiterleitung Standard DSL-Router A IP-Address of PC-Station 3.2 Konfiguration des Standard DSL-Router B (an SCALANCE S angeschlossen) Am Standard DSL-Router B muss das PORT-Forwarding so eingestellt werden, dass die UDP-Pakte vom Internet, welche an die Ports 500 und 4500 des Routers adressiert sind, an die Ports 500 und 4500 des angeschlossenen SCALANCE S 61x gesendet werden. Die bedeutet: Am Standard DSL-Router B wird die externe IP-Adresse des SCALANCE S 61x angegeben. Abbildung 3-2 Portweiterleitung Standard Router B externe IP-Adresse des SCALANCE S 61x V /38

10 4 Konfiguration des IPSec Kanals mit der Microsoft Management Console Für die Konfiguration des IPSec-Tunnels in der PC-Station verwenden Sie die Microsoft Management Console (MMC). Sie öffnen die MMC über das Windows START Menü Run... mit dem Befehl mmc Abbildung 4-1 Mircrosoft Management Console öffnen 4.1 Snap-In hinzufügen Zunächst werden folgende Snap-In über das Menü Datei Snap-In hinzufügen/entfernen... in den Konsolenstamm der MMC eingefügt: IP-Sicherheitsmonitor [IP Security Monitor] IP-Sicherheitsrichtlinienverwaltung [IP Security Policy Management] Dienste [Services] Es öffnet sich das Fenster Snap-In hinzufügen/entfernen. Über den Button Hinzufügen gelangen Sie in das Fenster Eigenständiges Snap-In hinzufügen. Hier wählen Sie das entsprechende Snap-In aus und fügen es durch die Betätigung des Buttons Hinzufügen hinzu. V /38

11 Abbildung 4-2 Snap-In hinzufügen Zunächst wählen Sie im Fenster Eigenständiges Snap-In hinzufügen das Snap-In IP-Sicherheitsmonitor aus und fügen es über die Button Hinzufügen hinzu. Abbildung 4-3 Snap-In IP-Sicherheitsmonitor hinzufügen V /38

12 Anschließend fügen Sie das Snap-In IP-Sicherheitsrichtlinienverwaltung hinzu. Hierbei geben Sie bei der Auswahl des zu verwaltenden Computers bzw. der zu verwaltenden Domäne den lokalen Computer an. Abbildung 4-4 Snap-In IP-Sicherheitsrichtlinienverwaltung hinzufügen Auch beim Hinzufügen des Snap-In Dienste geben Sie bei der Auswahl des zu verwaltenden Computers den lokalen Computer an. Abbildung 4-5 Snap-In Dienste hinzufügen Nachdem Sie die notwendigen Snap-In hinzugefügt haben, beenden Sie das Fenster Eigenständiges Snap-In hinzufügen durch Betätigung des Buttons Schließen und das Fenster Snap-In hinzufügen/entfernen durch Betätigung des Buttons OK. Nun sind die hinzugefügten Snap-In im Konsolenstamm der MMC enthalten, so dass eine neue IP-Sicherheitsrichtlinie erstellt werden kann. V /38

13 Abbildung 4-6 Konsolenstamm mit eingefügten Snap-In 4.2 IP-Sicherheitsrichtlinie erstellen Zum Erstellen einer neuen IP-Sicherheitsrichtlinie markieren Sie im Konsolenstamm das Snap-In IP-Sicherheitsrichtlinien auf Lokaler Computer und erstellen über das Menü Aktion IP-Sicherheitsrichtlinie erstellen... eine neue IP-Sicherheitsrichtlinie. Abbildung 4-7 IP-Sicherheitsrichtlinie erstellen Es öffnet sich der Assistent zum Erstellen einer neuen IP- Sicherheitsrichlinie. Zunächst vergeben Sie der neuen IP- Sicherheitsrichtlinie einen Namen. In diesem Beispiel wird der Name "VPNtunnel_PC_ScalanceS" vergeben Abbildung 4-8 IP-Sicherheitsregel Namen vergeben V /38

14 Im nächsten Schritt deaktivieren Sie die Standardantwortregel, da die Authentifizierungsmethode zu einem späteren Zeitpunkt definiert wird. Im letzten Schritt wird die Option Eigenschaften bearbeiten aktiviert, um die IP-Sicherheitsrichtlinie bearbeiten und konfigurieren zu können. Abbildung 4-9 Standardantwortregel deaktivieren und Option "Eigenschaften bearbeiten" aktivieren 4.3 Sicherheitsmethoden hinzufügen bzw. bearbeiten Mit dem Beenden des Assistenten zum Erstellen einer neuen IP- Sicherheitsrichlinie über den Button "Fertig stellen" gelangen Sie in das Eigenschaftsfenster der so eben erstellten IP-Sicherheitsrichtlinie VPNtunnel_PC_ScalanceS. Hier wird diese entsprechend konfiguriert bzw. bearbeitet. Zunächst konfigurieren Sie die Einstellungen für den Schlüsselaustausch zwischen der PC-Station und dem SCALANCE S. Dazu wechseln Sie im Eigenschaftsfenster der IP-Sicherheitsrichtlinie VPNtunnel_PC_ScalanceS in die Lasche Allgemein. Über den Button Erweitert gelangen Sie in das Fenster Einstellungen für den Schlüsselaustausch. Hier betätigen Sie den Button Methoden, um die Sicherheitsmethoden (Verschlüsselung und Integrität) hinzuzufügen bzw. zu bearbeiten, welche während der Authentifizierung unterstützt werden. Die folgenden Sicherheitsmethoden sollen während der Authentifizierung unterstützt werden: Tabelle 4-1 Sicherheitsmethoden Verschlüsselung Integrität Diffie-Hellmann-Gruppe 3DES SHA1 Niedrig 3DES SHA1 Mittel DES MD5 Niedrig DES MD5 Mittel V /38

15 Abbildung 4-10 Einstellungen für den Schlüselaustausch Nachdem Sie die Einstellungen für den Schlüsselaustausch konfiguriert haben werden die IP-Sicherheitsregeln definiert. Insgesamt werden zwei IP-Sicherheitsregeln benötigt. Die erste IP-Sicherheitsregel bestimmt den Datenverkehr von der PC- Station zum Netzwerk, welches durch den SCALANCE S geschützt wird. Die zweite IP-Sicherheitsregel bestimmt den Datenverkehr vom Netzwerk, welches durch den SCALANCE S geschützt wird, zur PC-Station. 4.4 Sicherheitsregel für den Datenverkehr von der PC-Station zum SCALANCE S 61x hinzufügen Um die erste IP-Sicherheitsregel hinzuzufügen, wechseln Sie im Eigenschaftsfenster der IP-Sicherheitsrichtlinie in die Lasche Regeln Hier wird über den Button Hinzufügen eine neue IP-Sicherheitsregel hinzugefügt. Es öffnet sich das Eigenschaftsfenster der Sicherheitsregel. V /38

16 Abbildung 4-11 IP-Sicherheitsregel hinzufügen IP-Filter anlegen Durch den IP-Filter wird der Datenverkehr einer IP-Sicherheitsregel bestimmt. Im Eigenschaftsfenster der Sicherheitsregel in der Lasche IP-Filterliste legen Sie über den Button Hinzufügen einen neuen IP-Filter an. Abbildung 4-12 IP Filter anlegen V /38

17 Der neue IP-Filter erhält den Namen channel_from_pc_to_scalance. Über den Button Hinzufügen gelangen Sie in das Eigenschaftsfenster des IP-Filters. Hier wird die Richtung des Datenverkehrs definiert. Da die erste IP-Sicherheitsregel den Datenverkehr von der PC-Station zum Netzwerk, welches durch den SCALANCE S geschützt wird, bestimmt geben Sie folgende Parameter an: Quelladresse: IP-Adresse der PC-Station Zieladresse: Subnetz, welches am internen PORT des SCALANCE S angeschlossen ist Die Option Diese Filterangabe wird auch auf Pakete mit gegenteiliger Quell- und Zieladresse angewendet wird deaktiviert. Es wird zu einem späteren Zeitpunkt eine zweite Sicherheitsregel mit entsprechendem IP- Filter hinzugefügt, welche den Datenverkehr vom SCALANCE S zum PC bestimmt. Abbildung 4-13 Name und Eigenschaften des IP-Filters definieren Nun ist der IP-Filter channel_from_pc_to_scalance in der IP-Filterliste enthalten. Sie wählen den IP-Filter channel_from_pc_to_scalance aus und wechseln anschließend im Eigenschaftsfenster der Sicherheitsregel in die Lasche Filteraktion, um eine neue Filteraktion hinzuzufügen und diese dem IP-Filter zuzuordnen. V /38

18 Abbildung 4-14 IP-Filter auswählen Filteraktion anlegen und zuordnen Mit der Betätigung des Buttons Hinzufügen gelangen Sie in das Eigenschaftsfenster der neuen Filteraktion. Da noch keine Sicherheitsmethode für diese Filteraktion existiert, muss eine neue Sicherheitsmethode angelegt werden. Dazu aktivieren Sie im Eigenschaftsfenster der Filteraktion in der Lasche Sicherheitsmethoden die Option Sicherheit aushandeln und betätigen den Button Hinzufügen. Abbildung 4-15 Filteraktion anlegen V /38

19 Sie legen eine benutzerdefinierte Sicherheitsmethode an. Für Ihre benutzerdefinierte Sicherheitsmethode mit Datenintegrität- und verschlüsselung nehmen Sie folgende Einstellungen vor: Integritätsalgorithmus: SHA1 Verschlüsselungsalgorithmus: 3DES Abbildung 4-16 Einstellungen der Sicherheitsmethode Nachdem Sie die benutzerdefinierte Sicherheitsmethode mit den entsprechenden Einstellungen angelegt haben, ist diese im Eigenschaftsfenster der Filteraktion in der Lasche Sicherheitsmethoden sichtbar. Die neu angelegte Sicherheitsmethode wird für die Filteraktion übernommen. Abbildung 4-17 Sicherheitsmethode übernehmen V /38

20 Wechseln Sie im Eigenschaftsfenster der Filteraktion in die Lasche Allgemein. Hier vergeben Sie der Filteraktion einen Namen, zum Beispiel IPSec Configuration und übernehmen diesen. Abbildung 4-18 Filteraktion Namen vergeben Anschließend wählen Sie im Eigenschaftsfenster der Sicherheitsregel in der Lasche Filteraktion die Filteraktion "IPSec Configuration" aus Abbildung Filteraktion auswählen V /38

21 4.4.3 Authentifizierungsmethode definieren Nun definieren Sie die Authentifizierungsmethode Preshared-Key. Dazu wechseln Sie im Eigenschaftsfenster der Sicherheitsregel in die Lasche Authentifizierungsmethoden. In diesem Beispiel lautet der Preshared-Key scalance. Abbildung 4-20 Authentifizierungsmethode konfigurieren Abschließend wird die Authentifizierungsmethode für die Sicherheitsregel übernommen. Abbildung 4-21 Authentifizierungsmethode übernehmen V /38

22 4.4.4 Tunneleinstellungen definieren Der Standard DSL-Router B, welcher am externen Port des SCALANCE S angeschlossen hat eine feste externe IP-Adresse, welche im Internet bekannt ist, und befindet sich auf der passiven Seite des IPSec Tunnels. Dies bedeutet: Die feste externe IP-Adresse des Standard DSL-Router B ist der Tunnelendpunkt für die PC-Station. Der Standard DSL-Router B muss nun die UDP-Paktet vom Internet, welche an die Ports 500 und 4500 des Routers adressiert sind, an die Ports 500 und 4500 des angeschlossenen SCALANCE S senden. Im Eigenschaftsfenster der Sicherheitsregel in der Lasche Tunneleinstellungen definieren Sie den Tunnelendpunkt. Hier geben Sie die feste externe IP-Adresse des Standard Router B für den Tunnelendpunkt an. Abbildung 4-22 Tunnelendpunkt definieren feste externe IP-Adresse des Standard Router B Nachdem Sie den Tunnelendpunkt definiert und für die IP-Sicherheitsregel übernommen haben beenden Sie das Eigenschaftsfenster der Sicherheitsregel mit der Betätigung des Button OK. Sie gelangen in das Eigenschaftsfenster der IP-Sicherheitsrichtlinie VPNtunnel_PC_ScalanceS. Nun wird die zweite IP-Sicherheitsregel für den Datenverkehr vom Netzwerk, welches durch den SCALANCE S geschützt wird, zur PC-Station angelegt. V /38

23 4.5 Sicherheitsregel für den Datenverkehr vom SCALANCE S 61x zur PC-Station hinzufügen Im Eigenschaftsfenster der IP-Sicherheitsrichtlinie VPNtunnel_PC_ScalanceS betätigen Sie den Button Hinzufügen, um die zweite IP-Sicherheitsregel anzulegen. Abbildung 4-23 Sicherheitsregel hinzufügen IP-Filter anlegen Es öffnet sich das Eigenschaftsfenster der Sicherheitsregel. In der Lasche "IP-Filterliste legen Sie durch die Betätigung des Buttons Hinzufügen einen neuen IP-Filter an. Dieser bestimmt den Datenverkehr der zweiten Sicherheitsregel. V /38

24 Abbildung 4-24 IP-Filter anlegen Der IP-Filter erhält den Namen channel_from_scalance_to_pc. Über den Button Hinzufügen gelangen Sie in das Eigenschaftsfenster des IP- Filters. Hier wird die Richtung des Datenverkehrs definiert. Da die zweite IP-Sicherheitsregel den Datenverkehr vom Netzwerk, welches durch den SCALANCE S geschützt wird, zur PC-Station bestimmt geben Sie folgende Parameter an: Quelladresse: Subnetz, welches am internen PORT des SCALANCE S angeschlossen ist Zieladresse: IP-Adresse der PC-Station Die Option Diese Filterangabe wird auch auf Pakete mit gegenteiliger Quell- und Zieladresse angewendet wird deaktiviert. Für den Datenverkehr vom PC zum SCALANCE S gibt es eine separate Sicherheitsregel. V /38

25 Abbildung 4-25 Name und Eigenschaften des IP-Filters definieren Nun ist der IP-Filter channel_from_scalance_to_pc in der IP-Filterliste enthalten. Sie wählen den IP-Filter channel_from_scalance_to_pc aus und wechseln anschließend im Eigenschaftsfenster der Sicherheitsregel in die Lasche Filteraktion, um dem IP-Filter die bereits definierte Filteraktion IPSec Configuration zuzuordnen. Abbildung 4-26 IP-Filter auswählen Filteraktion zuordnen In der Lasche Filteraktion im Eigenschaftsfenster der Sicherheitsregel wird die Filteraktion IPSec Configuration ausgewählt. V /38

26 Abbildung 4-27 Filteraktion auswählen Authentifizierungsmethode Nun definieren Sie, wie in Kapitel beschrieben, die Authentifizierungsmethode für die zweite Sicherheitsregel Tunneleinstellungen definieren Die PC-Station initiiert den Aufbau des IPSec-Tunnels. Dies bedeutet: Die IP-Adresse der PC-Station ist der Tunnelendpunkt für den SCALANCE S. Im Eigenschaftsfenster der Sicherheitsregel in der Lasche Tunneleinstellungen definieren Sie den Tunnelendpunkt. Hier geben Sie die IP-Adresse der PC-Station für den Tunnelendpunkt an. V /38

27 Abbildung 4-28 Tunneleinstellung definieren IP-Address of the PC-Station Nachdem Sie den Tunnelendpunkt definiert haben beenden Sie das Eigenschaftsfenster der Sicherheitsregel mit der Betätigung des Button OK. Sie gelangen in das Eigenschaftsfenster der IP-Sicherheitsrichtlinie VPNtunnel_PC_ScalanceS. Hier wählen Sie die folgenden zwei erstellten Sicherheitsregeln aus und übernehmen die Auswahl: channel_from_pc_to_scalance channel_from_scalance_to_p V /38

28 Abbildung 4-29 Sicherheitsregeln auswählen Mit der Betätigung des Buttons Schließen verlassen Sie das Eigenschaftsfenster der IP-Sicherheitsrichtlinie VPNtunnel_PC_ScalanceS. Anschließend konfigurieren Sie den SCALANCE S 61x V2.1 mit dem Security Configuration Tool V2.1. V /38

29 5 Konfiguration des SCALANCE S 61x Der SCALANCE S 61x V2.1 wird mittels Security Configuration Tool V2.1 konfiguriert. Öffnen Sie das Security Configuration Tool (SCT) über das Windows START Menü -> SIMATIC -> SCALANCE -> Security. Nachdem Sie ein neues Projekt im SCT angelegt haben, fügen Sie über das Menü Einfügen Modul jeweils ein Modul vom Typ S612 V2 und vom Typ MD740-1 ein. Das Einfügen des Moduls vom Typ MD740-1 dient dazu, den Teil der Konfiguration zu modellieren, welcher durch den Standard DSL-Router A und der PC-Station gebildet wird. Abbildung 5-1Modul einfügen Der SCALANCE S erhält die externe IP-Adresse im Subnetz Außerdem müssen Sie die MAC-Adresse des SCALANCE S im SCT eintragen. Der Standard DSL-Router B ist Gateway für den SCALANCE S. Aus diesem Grund wird die interne IP-Adresse des Standard DSL- Router B für das Default Gateway des Moduls vom Typ S612 V2 angegeben. Für das Modul vom Typ MD740-1 wird die externe und interne IP-Adresse des Standard DSL-Router A eingetragen. In diesem Beispiel ist die externe IP-Adresse des Standard DSL-Router A Die interne IP- Adresse des Standard DSL-Router A ist Außerdem werden die Modulnamen SCALANCE und RouterA vergeben. Abbildung 5-2. eingefügte Module V /38

30 Nun aktivieren Sie über das Menü Ansicht den Erweitert-Modus. Abbildung 5-3 Erweitert-Modus aktivieren Den Routing Modus für den SCALANCE S aktivieren Sie im Eigenschaftsfenster des Moduls SCALANCE in der Lasche Routing Modus. Hier tragen Sie die interne IP-Adresse und die Subnetz-Maske des SCALANCE S ein. Abbildung 5-4 Routing Modus aktivieren V /38

31 Anschließend legen Sie über das Menü Einfügen Gruppe eine neue Gruppe an. Abbildung 5-5 Gruppe Dieser Gruppe werden die beiden Module vom Typ S612 V2 und MD740-1 per Drag & Drop zugeordnet. Abbildung 5-6 Module der Gruppe zuordnen Drag &Drop In den Gruppeneigenschaften nehmen Sie die Einstellungen zur Authentifizierung und Sicherheitsmethode vor. Die Einstellungen zur Authentifizierung und Sicherheitsmethode werden analog zur Konfiguration in der MMC vorgenommen, d.h.: Sie tragen hier den preshared key scalance ein. Sie geben hier den Integritätsalgorithmus SHA1 für die Phase 1 und 2 des Datenaustauschs über IPSec an. Sie geben hier den Verschlüsselungsalgorithmus 3DES für die Phase 1 und 2 des Datenaustauschs über IPSec an. V /38

32 Abbildung 5-7 Gruppeneigenschaften Nun nehmen Sie im Eigenschaftsfenster des Moduls SCALANCE in der Lasche VPN die Einstellungen bezüglich des VPN-Tunnelaufbaus vor. Der SCALANCE S 61x V2.1 wird als passives Modul parametriert. Zusätzlich müssen Sie hier die feste externe IP-Adresse des angeschlossenen Standard DSL-Router angeben, über die das aktive Modul den Tunnelaufbau initiiert. In diesem Beispiel tragen Sie die feste externe IP-Adresse des Standard DSL Router B ein. V /38

33 Abbildung 5-8 Moduleigenschaften Lasche VPN Zum Abschluss der Konfiguration des SCALANCE S übertragen Sie die Konfigurationsdaten aus dem Security Configuration Tool an den SCALANCE S 61x V2.1. Dazu markieren Sie das entsprechende Modul vom Typ S612 V2 unter "Alle Module" und betätigen den Button "laden". Abbildung 5-9 Konfiguration in den SCALANCE S 61x laden V /38

34 6 VPN-Tunnel aufbauen 6.1 IPSec Dienste überprüfen Nachdem Sie die Konfiguration des IPSec Tunnels mittels der MMC und des Security Configuration Tool vorgenommen haben kann der VPN- Tunnel zwischen PC-Station und SCALANCE S über das Internet aufgebaut werden. Voraussetzung hierfür ist, dass der Dienst IPSec Dienste gestartet und aktiv ist. Dies können Sie in der Microsoft Management Console überprüfen. Im Konsolenstamm der MMC markieren Sie das Snap-In Dienste (Lokal). Hier sehen Sie eine Übersicht der Dienste Ihrer PC- Station. In dieser Übersicht suchen Sie den Dienst IPSec Dienste. Abbildung 6-1 IPSec Dienste Nun führen Sie einen Doppelklick auf den Dienst IPSec Dienste aus. Es öffnet sich das Eigenschaftsfenster des Dienstes IPSec Dienste. In der Lasche Allgemein überprüfen Sie den Status des Dienstes. Der Dienststatus muss gestartet lauten. V /38

35 Abbildung 6-2. Eigenschaftsfenster IPSec Dienste, Lasche Allgemein In der Lasche Anmelden können Sie überprüfen, ob der Dienst IPSec Dienste auf Ihrer PC-Station aktiviert ist Abbildung 6-3 Eigenschaftsfenster IPSec Dienste, Lasche Anmelden V /38

36 6.2 IPSec-Tunnel aufbauen Der Aufbau des IPSec-Tunnels zwischen der PC-Station mit Windows XP SP2 und dem SCALANCE S61x V2.1 wird über die MMC initiiert. Sie markieren im Konsolenstamm der MMC das Snap-In IP- Sicherheitsrichtlinien auf Lokaler Computer. Nun wählen Sie die IP- Sicherheitsrichtlinie VPNtunnel_PC_ScalanceS aus und weisen diese über das Menü Aktion Zuweisen der PC-Station zu. Abbildung 6-4 IP-Sicherheitsrichtlinie der PC-Station zuweisen 6.3 Status des IPSec-Tunnels überprüfen Wenn der IPSec-Tunnel zwischen der PC-Station und dem SCALANCE S über das Internet aufgebaut ist, kann von der PC-Station aus auf die geschützte Automatisierungszelle (CP 343-1) zugegriffen werden, d.h. Mit dem Security Configuration Tool können Sie online auf den SCALANCE S 61x V2.1 zugreifen. Dazu betätigen Sie den Button Online. Ist dieser Online-Zugriff erfolgreich, können Sie den SCALANCE S 61x über den VPN-Tunnel erreichen. In der Online- Ansicht des Moduls SCALANCE Lasche Kommunikationsstatus wird der Tunnelstatus aufgebaut angezeigt. Abbildung 6-5 Online-Zugriff auf SCALANCE S 61x V2.1 über SCT V /38

37 Abbildung 6-6 Status des IPSec-Tunnels Es kann von der PC-Station ein ping an die IP-Adresse des CP gesendet werden. Außerdem kann ein ping an die interne IP-Adresse des SCALANCE S 61x gesendet werden. Sie können in STEP 7 die PG/OP-Funktionen für den Online-Zugriff auf die Steuerung S7-300 nutzen, so dass Sie das STEP 7-Projekt bzw. die Konfiguration in die CPU der Steuerung S7 300 laden oder den Diagnosepuffer der CPU auslesen können. Hinweis Layer2-Protokolle, wie die Funktion "erreichbare Teilnehmer" in STEP 7, sind über den VPN-Tunnel nicht möglich. Eine zusätzlich auf dem PC installierte Firewall kann eventuell zu Problemen führen. ACHTUNG Diese Konstellation wurde auf mehreren Standard-PCs unter Windows XP SP2 getestet. Es kann keine Garantie dafür übernommen werden, dass dieses Beispiel in allen PC- Konfigurationen fehlerfrei funktioniert. V /38

38 7 Historie Version Datum Änderung V 1.0 Erste Ausgabe V /38