2 - Siemens Support
Werbung
Deckblatt Fernwirkkonzept mit SCALANCE S Modulen über IPsec-gesicherte VPNTunnel SCALANCE S612 V3, SOFTNET Security Client Applikationsbeschreibung Juli 2012 Applikationen & Tools Answers for industry. Siemens Industry Online Support Dieser Beitrag stammt aus dem Siemens Industry Online Support. Durch den folgenden Link gelangen Sie direkt zur Downloadseite dieses Dokuments: http://support.automation.siemens.com/WW/view/de/22056713 Vorsicht: Die in diesem Beitrag beschriebenen Funktionen und Lösungen beschränken sich überwiegend auf die Realisierung der Automatisierungsaufgabe. Bitte beachten Sie darüber hinaus, dass bei Vernetzung Ihrer Anlage mit anderen Anlagenteilen, dem Unternehmensnetz oder dem Internet entsprechende Schutzmaßnahmen im Rahmen von Industrial Security zu ergreifen sind. Weitere Informationen dazu finden Sie unter der Beitrags-ID 50203404. http://support.automation.siemens.com/WW/view/de/50203404 Nutzen Sie auch aktiv unser technisches Forum im Siemens Industry Online Support zu diesem Thema. Bringen Sie Fragen, Anregungen oder Probleme mit ein und diskutieren Sie diese zusammen mit unserer starken Forengemeinde: Copyright Siemens AG 2012 All rights reserved http://www.siemens.de/forum-applikationen 2 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 s SIMATIC Fernwirkkonzept mit S612 V3 und SSC 1 Automatisierungslösung 2 Funktionsmechanismen dieser Applikation 3 Installation 4 Inbetriebnahme der Applikation 5 Bedienung der Applikation 6 Literaturhinweis 7 Historie 8 Copyright Siemens AG 2012 All rights reserved Industrial Security Automatisierungsaufgabe Fernwirkkonzept V2.0, Beitrags-ID: 22056713 3 Gewährleistung und Haftung Gewährleistung und Haftung Hinweis Die Applikationsbeispiele sind unverbindlich und erheben keinen Anspruch auf Vollständigkeit hinsichtlich Konfiguration und Ausstattung sowie jeglicher Eventualitäten. Die Applikationsbeispiele stellen keine kundenspezifischen Lösungen dar, sondern sollen lediglich Hilfestellung bieten bei typischen Aufgabenstellungen. Sie sind für den sachgemäßen Betrieb der beschriebenen Produkte selbst verantwortlich. Diese Applikationsbeispiele entheben Sie nicht der Verpflichtung zu sicherem Umgang bei Anwendung, Installation, Betrieb und Wartung. Durch Nutzung dieser Applikationsbeispiele erkennen Sie an, dass wir über die beschriebene Haftungsregelung hinaus nicht für etwaige Schäden haftbar gemacht werden können. Wir behalten uns das Recht vor, Änderungen an diesen Applikationsbeispielen jederzeit ohne Ankündigung durchzuführen. Bei Abweichungen zwischen den Vorschlägen in diesem Applikationsbeispiel und anderen Siemens Publikationen, wie z.B. Katalogen, hat der Inhalt der anderen Dokumentation Vorrang. Für die in diesem Dokument enthaltenen Informationen übernehmen wir keine Gewähr. Copyright Siemens AG 2012 All rights reserved Unsere Haftung, gleich aus welchem Rechtsgrund, für durch die Verwendung der in diesem Applikationsbeispiel beschriebenen Beispiele, Hinweise, Programme, Projektierungs- und Leistungsdaten usw. verursachte Schäden ist ausgeschlossen, soweit nicht z.B. nach dem Produkthaftungsgesetz in Fällen des Vorsatzes, der groben Fahrlässigkeit, wegen der Verletzung des Lebens, des Körpers oder der Gesundheit, wegen einer Übernahme der Garantie für die Beschaffenheit einer Sache, wegen des arglistigen Verschweigens eines Mangels oder wegen Verletzung wesentlicher Vertragspflichten zwingend gehaftet wird. Der Schadensersatz wegen Verletzung wesentlicher Vertragspflichten ist jedoch auf den vertragstypischen, vorhersehbaren Schaden begrenzt, soweit nicht Vorsatz oder grobe Fahrlässigkeit vorliegt oder wegen der Verletzung des Lebens, des Körpers oder der Gesundheit zwingend gehaftet wird. Eine Änderung der Beweislast zu Ihrem Nachteil ist hiermit nicht verbunden. Weitergabe oder Vervielfältigung dieser Applikationsbeispiele oder Auszüge daraus sind nicht gestattet, soweit nicht ausdrücklich von Siemens Industry Sector zugestanden. 4 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 Inhaltsverzeichnis Inhaltsverzeichnis Gewährleistung und Haftung...................................................................................4 1 Automatisierungsaufgabe..............................................................................6 2 Automatisierungslösung................................................................................8 2.1 2.2 2.3 3 Funktionsmechanismen dieser Applikation................................................ 12 3.1 3.2 3.3 3.4 4 Voraussetzung ................................................................................37 Bedienung .......................................................................................39 Literaturhinweis............................................................................................40 Copyright Siemens AG 2012 All rights reserved 7.1 7.2 8 Zurücksetzen der SCALANCE S-Module ......................................... 23 Adressvergabe ................................................................................23 Portforwarding in den DSL-Routern ................................................. 24 Konfiguration der Security Module ................................................... 25 Einfügen der Module in das SCT ..................................................... 25 Umschalten in den Erweitert- Modus................................................ 28 Bildung der VPN-Gruppe im SCT..................................................... 28 Einfügen der Module in die Gruppen................................................ 29 Laden der Module............................................................................31 Aktivierung des SOFTNET Security Client ....................................... 33 Konfiguration von VNC .................................................................... 35 Bedienung der Applikation ..........................................................................37 6.1 6.2 7 Installation der Hardware ................................................................. 19 Installation der Software .................................................................. 20 Installation der Applikations Software............................................... 21 Inbetriebnahme der Applikation .................................................................. 23 5.1 5.2 5.3 5.4 5.4.1 5.4.2 5.4.3 5.4.4 5.4.5 5.5 5.6 6 Das Fernwartungsprogramm VNC ................................................... 12 Aufbau der gesicherten Verbindung ................................................. 13 Tunnelübersicht im SOFTNET Security Client.................................. 16 Diagnosemöglichkeit im Security Configuration Tool ........................ 17 Installation ....................................................................................................19 4.1 4.2 4.3 5 Übersicht der Automatisierungslösung ...............................................8 Beschreibung der Kernfunktionalität...................................................9 Verwendete Hard- und Software-Komponenten ............................... 11 Literaturangaben .............................................................................40 Internet-Link-Angaben ..................................................................... 40 Historie..........................................................................................................40 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 5 1 Automatisierungsaufgabe 1 Automatisierungsaufgabe Einführung/Einleitung Moderne Automatisierungstechnik baut auf Kommunikation und zunehmende Vernetzung einzelner Fertigungsinseln. Vertraulichkeit, Schutz und Integrität des Datenverkehrs sind dabei zentrale Punkte. Auch das Thema Fernwartung wird in Zukunft einen höheren Stellenwert einnehmen. Die Effizienz, die den zeitlichen Aufwand und die damit korrespondierenden Kosten betrifft, ist bedeutend höher als Servicemitarbeiter zu den weltweit gelegenen Anlagen zu schicken. Durch die Fernwirkung können hohe Kosten und zeitintensive Reisen eingespart werden. Egal ob beim Datenaustausch, der Diagnose von und zwischen Fertigungsinseln oder durch den remoten Zugriff auf das Firmennetz, durch den Einsatz von ITMechanismen wie Email, Webserver und Wireless LAN in der Automatisierungswelt wirken industrielle Kommunikation und IT-Welt zunehmend zusammen und sind den gleichen Gefahren wie Hacker, Würmer und Trojaner ausgesetzt. Überblick über die Automatisierungsaufgabe Siemens AG 2012 All rights reserved Folgendes Bild gibt einen Überblick über die Automatisierungsaufgabe. Abbildung 1-1 Zentrale Datenbank Datentransfer Copyright Servicemitarbeiter Remote Station 1 Steuerung 6 Remote Station 2 Steuerung Remote Station n … Steuerung Fernwirkkonzept V2.0, Beitrags-ID: 22056713 1 Automatisierungsaufgabe Beschreibung der Automatisierungsaufgabe In der industriellen Automatisierung steht die Sicherheit der Netzwerke innerhalb der Produktion an oberster Stelle. Die Aufgabe dieser Applikation besteht darin, die Datenintegrität, Vertraulichkeit und Schutz innerhalb der industriellen Kommunikation zu wahren. Die Leitstelle ist dabei der zentrale Punkt. Hier werden zum einen die Konfigurationsdateien für die Steuerungen gespeichert, zum anderen gehen hier auch alle Verbindungen zu den Remote Stationen ab. Über diese Anbindung werden Projekte in die Steuerungen der Außenstationen geladen bzw. Daten überwacht. Servicemitarbeitern soll es ermöglicht werden, sich mit ihren PGs/ PCs über eine gesicherte Verbindung mit der Leitstelle zu verbinden, um von dort aus Zugriff auf die Außenstationen zu erhalten. Copyright Siemens AG 2012 All rights reserved Wichtiger Punkt bei der Realisierung der Automatisierungsaufgabe soll dabei sein, dass die gesicherte Verbindung einfach, kostengünstig und ohne ITExpertenwissen realisiert werden kann. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 7 2 Automatisierungslösung 2 Automatisierungslösung 2.1 Übersicht der Automatisierungslösung Schematische Darstellung Die folgende Abbildung zeigt schematisch die wichtigsten Komponenten der Lösung: Abbildung 2-1 Siemens AG 2012 All rights reserved Zentrale SCALANCE S612 mit FernwartungsPCs und VNC-Server Gesicherte Verbindung Copyright Servicemitarbeiter PG/PC mit SOFTNET Security Client und VNC-Client Remote Station SCALANCE S612 mit S7-300 Station Beschreibung der Automatisierungslösung Zum Aufbau der gesicherten Verbindungen dienen die Security Module SCALANCE S612 V3 und der SOFTNET Security Client. Die Remote Station besteht aus einer S7-300 CPU. In der Zentrale -als Mittelpunkt der Anlage- stehen FernwartungsPCs und eine Datenbank mit den nötigen Konfigurationsdateien für die Außenstationen zur Verfügung. 8 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 2 Automatisierungslösung Abgrenzung Das vorliegende Dokument behandelt ausschließlich die neuen Funktionen und Mechanismen. Alle Informationen zu den Security Komponenten von SIMATIC NET und Grundlagen zu Industrial Security werden nicht mehr behandelt. Nähere Informationen entnehmen Sie bitte dem Dokument „Security mit SCALANCE S612 V3 Modulen über IPSec-gesicherten VPN-Tunnel“, das sich auf der gleichen HTML-Seite befindet. Vorausgesetzte Kenntnisse Da dieses Dokument nur die neuen Funktionen und Mechanismen erläutert, werden die grundlegende Kenntnisse über Industrial Security und den Komponenten voraus gesetzt. 2.2 Beschreibung der Kernfunktionalität Diesem Dokument stellt ein komplexeres Fernwirkkonzept vor, wie das Routing zwischen den gesicherten Verbindungen mit Hilfe von VNC (Virtual Network Computing) funktioniert. Schematische Darstellung der Lösung Abbildung 2-2 3 Copyright Siemens AG 2012 All rights reserved Kernfunktionalität dieser Applikation ist das Industrial Security Konzept von SIMATIC NET. Mit dieser Lösung können Gefahren eliminiert werden, die durch die Nutzung von durchgängigen Ethernet-Strukturen und Internet-Technologie in sensiblen Bereichen entstehen können. Zentrale 1 2 Servicemitarbeiter 4 Remote Station Fernwirkkonzept V2.0, Beitrags-ID: 22056713 9 2 Automatisierungslösung Schrittweise Darstellung Die folgende Tabelle verdeutlicht die Vorgehensweise des Fernwirkens: Tabelle 2-1 Schritt Beschreibung 1 Der Servicemitarbeiter baut eine gesicherte Verbindung zur Zentrale auf. 2 Die Remote Station stellt ebenfalls eine gesicherte Verbindung zur Zentrale her. 3 Über eine Fernwartungssoftware auf dem PG des Mitarbeiters ist eine Steuerung des FernwartungsPCs aus der Ferne möglich (z.B. die Bedienung von STEP 7). 4 Über diesen FernwartungsPC werden nun die nötigen Konfigurationsdateien in die Außenstation geladen (z.B. Laden der Hardwarekonfiguration in die Steuerung). Vorteile dieser Lösung Neben den Vorteilen des Security Konzeptes hat diese Lösung zusätzlich folgende Vorteile: Sicherung aller projektrelevanten Dateien in einer zentralen Datenbank. Siemens AG 2012 All rights reserved Minimierung falscher Konfigurationen/ Projektierungen, da alle Servicemitarbeiter die nötigen Konfigurationsdaten aus der zentralen Datenbank laden können. Zugriff auf Außenstationen kann nur bestimmten Servicemitarbeitern gewährt werden. Copyright Weitere Außenstationen sind ohne viel Aufwand in die Applikation integrierbar. 10 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 2 Automatisierungslösung 2.3 Verwendete Hard- und Software-Komponenten Die Applikation wurde mit den nachfolgenden Komponenten erstellt: Hardware-Komponenten Tabelle 2-2 Komponente Anz. MLFB/Bestellnummer Hinweis Security-Modul SCALANCE S612 V3 2 6GK5612-0BA10 2AA3 V3 CPU 317-2 PN/DP 1 6ES7317-2EK14-0AB0 Alternativ kann auch eine andere CPU verwendet werden. CP343-1 Advanced 1 6GK7343-1GX21-0XE0 Power Supply 2 6ES7307-1BA01-0AA0 DSL-Router mit Portforwarding 3 Davon zwei mit fester öffentlicher IP-Adresse Tabelle 2-3 Komponente Anz. STEP 7 V5.5 SP2 1 Security Configuration Tool V3.0 1 SOFTNET Security Client V4 1 VNC Remote Desktop 1 MLFB/Bestellnummer Hinweis 6ES7810-4CC08-0YA5 Im Lieferumfang des S612 V3 enthalten. 6GK1704-1VW04-0AA0 Copyright Siemens AG 2012 All rights reserved Standard Software-Komponenten In dieser Applikation wurde der RealVNC verwendet. Beispieldateien und Projekte Die folgende Liste enthält alle Dateien und Projekte, die in diesem Beispiel verwendet werden. Tabelle 2-4 Komponente Hinweis 22056713_RemoteAccess_S612_CODE_v20.zip Diese gepackte Datei enthält das STEP 7 Projekt. 22056713_RemoteAccess_S612_DOKU_v20_d.pdf Dieses Dokument. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 11 3 Funktionsmechanismen dieser Applikation 3 Funktionsmechanismen dieser Applikation 3.1 Das Fernwartungsprogramm VNC Was ist VNC? VNC (Virtual Network Computing) ist eine Fernwartungssoftware nach dem ClientServer Prinzip. Über dieses Tool wird der Bildschirminhalt eines entfernten Rechners (Server) auf dem lokalen Rechner (Client) abgebildet. Im Gegensatz dazu werden die Mausbewegung und Tastatureingaben des Clients auf den Server übertragen. Über dieses Verfahren besteht die Möglichkeit, auf einen anderen Rechner aus der Ferne zuzugreifen und diesen zu steuern. VNC implementiert das Remote Framepuffer Protocol, ein Netzwerkprotokoll auf Ebene des bitorientierten Grafikspeichers (Framepuffer). Aus diesem Grund ist VNC plattformunabhängig. Funktionsweise Über die IP-Adresse oder dem Computernamen baut der Client zum Server eine Verbindung auf und bildet den Bildschirminhalt auf dem eigenen ab. Die Bildschirminhalte werden dabei als Bitmaps übertragen, wobei nur die jeweiligen Änderungen zum Client übertragen werden. Es werden Farbtiefen von 8, 16 und 32 Bit pro Pixel unterstützt. Exemplarische Darstellung Die folgende Grafik soll dieses Prinzip verdeutlichen: Abbildung 3-1 Copyright Siemens AG 2012 All rights reserved Für den Fernzugriff ist es notwendig, dass auf dem lokalen Rechner das ClientSoftwarepaket und auf dem entfernten Rechner die Server Variante installiert und gestartet ist. Client Tastatureingaben & Mausbewegungen Server Bildschirminhalt 12 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 3 Funktionsmechanismen dieser Applikation 3.2 Aufbau der gesicherten Verbindung In dieser Automatisierungslösung werden zwei unterschiedliche VPNTunnelverbindungen benötigt. VPN-Tunnel 1 zwischen Servicemitarbeiter und Zentrale VPN-Tunnel 2 zwischen Zentrale und Außenstation. Umgesetzt wird dies durch die Verwendung verschiedener Zertifikate. Im Security Configuration Tool gilt folgende Regel: Alle Module, die einer VPN-Gruppe angehören, kommunizieren über den gleichen VPN-Tunnel und können untereinander Daten austauschen. Da nun zwei verschiedene Tunnel gefordert sind, werden entsprechend auch zwei VPN-Gruppen angelegt. Aufbau des VPN-Tunnel 1 Als VPN-Client muss der SOFTNET Security Client die gesicherte Verbindung zum VPN-Server (dem SCALANCE S612 V3) in der Zentrale initiieren. Abbildung 3-2 SOFTNET Security Client Aktiv Initiiert Verbindung Copyright Siemens AG 2012 All rights reserved Servicemitarbeiter S612 V3 Passiv Zentrale Aufbau des VPN-Tunnels 2 Die gesicherte Verbindung zwischen den SCALANCE S Modulen wird von einem der S612 V3-Module übernommen. SCALANCE S Module können sowohl VPNClients als auch –Server sein, d.h. die Verbindung aktiv aufbauen oder auf eine Anfrage warten. Abbildung 3-3 Remote Station S612 V3 Aktiv Fernwirkkonzept V2.0, Beitrags-ID: 22056713 Zentrale Initiiert Verbindung S612 V3 Passiv 13 3 Funktionsmechanismen dieser Applikation Übersicht der VPN-Tunnel Nach Aufbau der gewünschten Verbindungen stehen zwei unterschiedliche VPNTunnels zur Verfügung: Abbildung 3-4 Zentrale S612 V3 Copyright Siemens AG 2012 All rights reserved Servicemitarbeiter SOFTNET Security Client Remote Station S612 V3 VPN- Gruppen im SCT Im Security Configuration Tool werden die unterschiedlichen Tunnels durch zwei VPN-Gruppen repräsentiert. Dieser Screenshot zeigt die Teilnehmer des VPN-Tunnels 1: Abbildung 3-5 14 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 3 Funktionsmechanismen dieser Applikation Dieser Screenshot zeigt die Teilnehmer des VPN-Tunnels 2: Abbildung 3-6 Weitere Außenstationen können sehr leicht in die vorhandene Applikation integriert werden. Für jede weitere Remote Station wird in der Konfiguration im Security Configuration Tool ein neues S612 V3-Modul eingefügt wird. Aus Performancegründen ist es ratsam, das neue Modul in die bereits vorhandene VPN-Gruppe zu integrieren. Copyright Siemens AG 2012 All rights reserved Anschluss weiterer Remote Stationen Fernwirkkonzept V2.0, Beitrags-ID: 22056713 15 3 Funktionsmechanismen dieser Applikation 3.3 Tunnelübersicht im SOFTNET Security Client Für einen Überblick der konfigurierten Tunnelverbindung und deren Status bietet der SOFTNET Security Client ein spezielles Übersichtsfenster an. Folgender Screenshot zeigt diese Übersicht: Copyright Siemens AG 2012 All rights reserved Abbildung 3-7 Die Parameter haben folgende Bedeutung: Tabelle 3-1 Parameter Hinweis 16 Bedeutung Status Mögliche Statusanzeigen finden Sie in der nächsten Tabelle. Name aus der Konfiguration mit Security Configuration Tool übernommener Name des Moduls oder des Teilnehmers. IP-Adresse Bei Teilnehmern: IP-Adresse des internen Knotens. Tunnel Endpunkt IP IP-Adresse des zugeordneten SCALANCE S-Moduls. Tunnel über… Falls Sie in Ihrem PC mehrere Netzwerkkarten betreiben, wird hier die zugeordnete IP-Adresse angezeigt. Falls auf Ihrem PG/PC mehrere Netzwerkadapter vorhanden sind wählt der SOFTNET Security Client automatisch einen aus über den ein Tunnelaufbau versucht wird. Gegebenenfalls konnte der SOFTNET Security Client jedoch keinen zu Ihrem Projekt passenden finden und hat einen beliebigen eingetragen. In diesem Fall müssen Sie die Netzwerkadaptereinstellung über das Kontextmenü der Teilnehmer und SCALANCE S Module manuell anpassen. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 3 Funktionsmechanismen dieser Applikation Als Statusanzeige sind folgende Symbole möglich: Tabelle 3-2 Symbol Bedeutung Es besteht keine Verbindung zum Modul oder Teilnehmer. Es sind weitere Teilnehmer vorhanden, die nicht angezeigt werden. Doppelklicken Sie auf das Symbol, um weitere Teilnehmer anzuzeigen. Modul/ Teilnehmer ist nicht erreichbar. Modul/ Teilnehmer ist erreichbar. SCALANCE S ist deaktiviert. SCALANCE S ist aktiviert. Das interne Netz ist deaktiviert. Copyright Siemens AG 2012 All rights reserved Das interne Netz ist aktiviert. 3.4 Diagnosemöglichkeit im Security Configuration Tool Das Security Configuration Tool bietet zu Diagnosezwecke einen Online-Modus an. Voraussetzungen für die Online-Ansicht Um Zugriff auf die Online-Sicht zu erhalten, sind folgende Punkte zu beachten: Die Online-Betriebsart im Security Configuration Tool ist eingeschaltet (View > Online bzw. Ansicht > Online). Es besteht eine Netzwerkverbindung zum ausgewählten Modul. Das zugehörige Projekt, mit dem das Modul konfiguriert wurde, ist geöffnet. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 17 3 Funktionsmechanismen dieser Applikation Online Funktionen Folgender Screenshot zeigt den Online-Dialog: Copyright Siemens AG 2012 All rights reserved Abbildung 3-8 Folgende Funktionen werden hier angeboten: Tabelle 3-3 Funktion 18 Bedeutung Zustand Anzeige des Geräte-Status des im Projekt angewählten SCALANCE S Moduls. Kommunikationszustand Anzeige des Kommunikations-Status und der internen Netzknoten zu weiteren der VPN-Gruppe zugehörenden SCALANCE S-Modulen. Datum und Uhrzeit Einstellung von Datum und Uhrzeit. Cache-Tabelle ARP-Tabelle des Security Moduls. Benutzer-Kontrolle Übersicht der eingeloggten Benutzer für die benutzerdefinierten Firewallregeln. Interne Knoten Anzeige der internen Netzknoten des SCALANCE SModuls. SchnittstellenEinstellungen Statusanzeige der ausgewählten Schnittstelle (PPPoE, DynDNS) System Log Anzeige von geloggten System-Ereignissen. Audit Log Anzeige von geloggten Sicherheits-Ereignissen. Paketfilter Log Anzeige von geloggten Daten-Paketen, sowie Starten und Stoppen des Paket-Logging. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 4 Installation 4 Installation 4.1 Installation der Hardware Nachfolgendes Bild zeigt den Hardwareaufbau für dieses Fernwirkkonzept. Die Hardware-Komponenten entnehmen Sie bitte dem Kapitel 2.3. Abbildung 4-1 Copyright Siemens AG 2012 All rights reserved Zentrale mit FernwartungsPCs Router Zentrale Router SOFTNET PG mit SOFTNET Security Client Router Remote Station Remote Station mit CPU317-2 PN/DP + CP343-1 Advanced Fernwirkkonzept V2.0, Beitrags-ID: 22056713 19 4 Installation Gehen Sie für den Hardwareaufbau gemäß folgender Tabelle vor: Tabelle 4-1 Aktion 1 Montieren Sie alle Module für die Remote Station auf eine Profilschiene. 2 Verbinden Sie über Ethernet die Module wie folgt: In der Remote Station: – CP343-1 Advanced mit der internen Schnittstelle (grün) des S612 V3. – Router Remote Station mit der externen Schnittstelle (rot) des S612 V3. Das PG über die interne Netzwerkkarte mit dem Router SOFTNET. In der Zentrale: – Router Zentrale mit der externen Schnittstelle des S612 V3. – FernwartungsPC mit der internen Schnittstelle des S612 V3. Hinweis 4.2 Anmerkung S612 V3 CPU317-2 PN/DP CP343-1 Advanced PS307 Die Aufbaurichtlinien für die Komponenten sind generell zu beachten. Installation der Software Tabelle 4-2 Nr. Aktion Anmerkung Installieren Sie STEP 7 V5.5 SP2 auf dem FernwartungsPC. Folgen Sie den Anweisungen des Installationsprogramms. Installieren Sie RealVNC Server auf dem FernwartungsPC. Folgen Sie den Anweisungen des Installationsprogramms. 3 Installieren Sie das Security Configuration Tool V3.0 auf dem PG. Folgen Sie den Anweisungen des Installationsprogramms. 4 Installieren Sie den SOFTNET Security Client V4.0 auf dem PG. Folgen Sie den Anweisungen des Installationsprogramms. Installieren Sie RealVNC Client auf dem PG. Folgen Sie den Anweisungen des Installationsprogramms. 2 5 20 Fernwart ungs-PC 1 Ort PG Copyright Siemens AG 2012 All rights reserved Nr. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 4 Installation 4.3 Installation der Applikations Software Entpacken Sie den Ordner 22056713_RemoteAccess_S612_CODE_v20.zip. Es befindet sich hier das STEP7 Projekt RemoteAccess.zip. Tabelle 4-3 Nr. Aktion Öffnen Sie am FernwartungsPC den SIMATIC MANAGER und entpacken Sie das STEP 7 -Projekt. 2 Stellen Sie über Options > Set PG/PCInterface (Extras > PG/PC Schnittstelle einstellen) die PGSchnittstelle auf MPI um. 3 Verbinden Sie die CPU315-2DP und das PG mit dem MPI-Kabel. 4 Markieren Sie die Station CPU_LEAN und laden Sie diese in die CPU. File > Retrieve (Datei > Dearchivieren). Copyright Siemens AG 2012 All rights reserved 1 Anmerkung Fernwirkkonzept V2.0, Beitrags-ID: 22056713 21 4 Installation Nr. 5 Aktion Anmerkung Stellen Sie über Options > Set PG/PCInterface (Extras > PG/PC Schnittstelle einstellen) die PGSchnittstelle auf Ethernet um. Wählen Sie dafür die Netzwerkkarte ihres PGs aus, die Sie für diese Applikation verwenden. Verwenden Sie NICHT TCP/IP (Auto). Achtung Bei TCP/IP (Auto) wird davon ausgegangen, dass sich das PG/PC im selben Ethernetnetz wie die Steuerung befindet und keine "passende" IP Projektierung aufweist. Um also eine der projektierten Steuerungen zu erreichen, wird durch das System der PG/PC Netzwerkkarte eine "neue" IP Adresse aus dem Zielnetzwerk (Netzwerkwerk der Steuerung) verpasst. Durch diese zusätzlichen IP-Adressen der PG/PC Netzwerkkarte treten Probleme beim VPN-Tunnelaufbau auf. Copyright Siemens AG 2012 All rights reserved Beachten Sie den entsprechenden Hinweis nach dieser Tabelle. 22 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 5 Inbetriebnahme der Applikation 5 Inbetriebnahme der Applikation 5.1 Zurücksetzen der SCALANCE S-Module Um zu gewährleisten, dass keine andere VPN-Konfiguration bzw. Zertifikate in den Modulen hinterlegt sind, ist es notwendig, die SCALANCE S Module auf Werkseinstellung zurückzusetzen. Eine Anleitung finden Sie im Handbuch des SCALANCE S unter \3\ im Anhang. 5.2 Adressvergabe Überblick über die IP-Adressen Tabelle 5-1 Copyright Siemens AG 2012 All rights reserved Modul IP-Adresse PG 192.168.2.4 Router SOFTNET 192.168.2.1 Interne Schnittstelle des S612 V3 der Zentrale 172.168.2.1 Externe Schnittstelle des S612 V3 der Zentrale 192.168.2.2 FernwartungsPC 172.168.2.2 Router Zentrale 192.168.2.1 Interne Schnittstelle des S612 V3 der Remote Station 140.80.0.1 Externe Schnittstelle des S612 V3 der Remote Station 192.168.2.3 CP343-1 Advanced 140.80.0.2 Router Remote Station 192.168.2.1 IP-Adressvergabe des PGs Tabelle 5-2 Nr. 1 Aktion Anmerkung Öffnen Sie die Internet Protokoll (TCP/IP)-Eigenschaften PGs über Start > Settings > Network Connection > Local Connections (Start > Einstellungen > Netzwerkverbindungen > Lokale Verbindungen). Tragen Sie für das PG die IP-Adresse 192.168.2.4 ein. Als Gateway und DNS Server dient die IP-Adresse des Routers 192.168.2.1. Schließen Sie den Dialog mit OK. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 23 5 Inbetriebnahme der Applikation IP-Adressvergabe des FernwartungsPC Tabelle 5-3 Nr. Anmerkung Siemens AG 2012 All rights reserved Öffnen Sie die Internet Protokoll (TCP/IP)-Eigenschaften PGs über Start > Settings > Network Connection > Local Connections (Start > Einstellungen > Netzwerkverbindungen > Lokale Verbindungen). Tragen Sie die IP-Adresse 172.168.2.2 ein. Als Gateway und DNS Server dient die interne IP-Adresse des SCALANCE S612 V3 172.168.2.1. Schließen Sie den Dialog mit OK. IP-Adressvergabe der Router Copyright 1 Aktion 5.3 Für das Fernwartungskonzept werden Router benötigt. Diesen müssen Sie LANseitig eine IP-Adresse (für alle drei Router je die 192.168.2.1) vergeben. Eine Anleitung hierfür finden Sie im Handbuch Ihres Gerätes. Portforwarding in den DSL-Routern Der Router Zentrale befindet sich auf der der passiven Seite, d.h. zu ihm werden die beiden VPN-Tunnels initiiert. Aus diesem Grund ist es notwendig, bestimmte Ports freizuschalten: UDP-Port 500 (ISAKMP) UDP-Port 4500 (NAT-T) Konfigurieren Sie dafür folgende Portforwarding Regeln in Ihrem Router: Router Zentrale: Weiterleitung der genannten Ports an die externe IP-Adresse des S612 V3 (192.168.2.2) Eine Anleitung für das Portforwarding finden Sie im Handbuch Ihres Routers. 24 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 5 Inbetriebnahme der Applikation 5.4 Konfiguration der Security Module 5.4.1 Einfügen der Module in das SCT Das Security Configuration Tool ist die zentrale Konfigurationssoftware für die Security Module. Copyright Siemens AG 2012 All rights reserved Tabelle 5-4 Nr. Aktion 1 Öffnen Sie das Security Configuration Tool über Start > SIMATIC > SCALANCE > Security >Security Configuration Tool. 2 Legen Sie über Project > New (Projekt > Neu) ein neues Projekt an. Sie werden aufgefordert, das Projekt durch einen Benutzernamen und Passwort zu schützen. Füllen Sie die entsprechenden Eingabefelder aus und klicken Sie OK. 3 Wählen Sie für das erste Modul den SCALANCE S612 V3. Geben Sie dem Modul einen Namen (z.B. Central) und tragen Sie die MACAdresse ein, die sich am Gehäuse des SCALANCE S612 V3 befindet. Als externe IP-Adresse verwenden Sie die 192.168.2.2. Schließen Sie den Dialog mit OK. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 Anmerkung 25 5 Inbetriebnahme der Applikation Nr. Aktion 4 Fügen Sie über das entsprechende Icon oder über Insert > Module (Einfügen > Modul) ein weiteres Modul in das Projekt ein. Wählen Sie als Typ erneut den SCALANCE S612 V3. Geben Sie dem Modul einen Namen (z.B. Remote) und tragen Sie die MACAdresse ein, die sich am Gehäuse des SCALANCE S612 V3 befindet. Als externe IP-Adresse verwenden Sie die 192.168.2.3. Schließen Sie den Dialog mit OK. Copyright Siemens AG 2012 All rights reserved 5 Anmerkung 26 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 6 Fügen Sie wie in Schritt 4 ein drittes Modul ein. Wählen Sie nun als Typ den SOFTNET Security Client V4 aus und vergeben einen Namen (z.B. Service). Schließen Sie den Dialog mit OK. 7 Markieren Sie im Security Configuration Tool das Modul Central. Öffnen Sie durch Doppelklick die Eigenschaften. Wählen Sie den Routing Modus. Als interne IP-Adresse verwenden Sie die 172.168.2.2 mit der Subnetzmaske 255.255.255.0. Schließen Sie den Dialog mit OK. 8 Klicken Sie in der Spalte Standard Router doppelt. Tragen Sie hier die IPAdresse des Routers Zentrale ein (192.168.2.1). 9 Markieren Sie im Security Configuration Tools das Modul Remote. Öffnen Sie durch Doppelklick die Eigenschaften. Wählen Sie den Routing Modus. Als interne IP-Adresse verwenden Sie die 140.80.0.1 mit der Subnetzmaske 255.255.255.0. Schließen Sie den Dialog mit OK. 10 Klicken Sie in der Spalte Standard Router doppelt. Tragen Sie hier die IPAdresse des Routers Remote ein (192.168.2.1). Copyright Siemens AG 2012 All rights reserved 5 Inbetriebnahme der Applikation Fernwirkkonzept V2.0, Beitrags-ID: 22056713 27 5 Inbetriebnahme der Applikation 5.4.2 Umschalten in den Erweitert- Modus Der Erweitert-Modus bietet mehr Einstellmöglichkeiten als der normale Modus. Tabelle 5-5 Nr. Aktion 1 Schalten Sie das Projekt über View > Advanced Modus (Ansicht > ErweitertModus) in den Erweitert-Modus. 2 Nach dem Umschalten in den ErweitertModus ist ein Zurückkehren in den Standard-Modus nicht mehr möglich. Bestätigen Sie diese Warnung mit Yes (Ja). 5.4.3 Anmerkung Bildung der VPN-Gruppe im SCT Tabelle 5-6 Nr. Aktion 1 Markieren Sie VPN Groups und fügen Sie über über das entsprechende Icon oder über Insert > Group (Einfügen > Gruppe) zwei neue VPN-Gruppen in das Projekt ein. 2 Markieren Sie nacheinander die VPNGruppen und benennen Sie die über Rechte Maustaste > Rename (Umbennenen) um. Anmerkung Copyright Siemens AG 2012 All rights reserved Jeder VPN-Tunnel wird im Security Configuration Tool durch eine VPN Gruppe repräsentiert. VPN Gruppe1: Service-Central VPN Gruppe2: Remote-Central 28 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 5 Inbetriebnahme der Applikation Nr. 3 Aktion Anmerkung Markieren Sie VPN-Groups. Die neu angelegten Gruppen werden mit dem neuen Namen angezeigt. 5.4.4 Einfügen der Module in die Gruppen Alle Module, die sich innerhalb einer Gruppe befinden, können über einen VPNTunnel miteinander kommunizieren. Tabelle 5-7 Nr. 1 Markieren Sie nacheinander die Module Central und Remote und ziehen Sie diese per Drag&Drop in die VPN Gruppe Remote-Central. 2 Markieren Sie nacheinander die Module Central und Service und ziehen Sie diese per Drag&Drop in die VPN Gruppe Service-Central. Siemens AG 2012 All rights reserved Copyright Aktion Anmerkung Achtung: Fangen Sie immer mit einem S612 V3Modul an, damit die Betriebsart der VPNGruppe korrekt ist. 3 Markieren Sie die VPN Gruppe ServiceCentral und überprüfen Sie, ob sich die Module Central und Service dort befinden. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 29 5 Inbetriebnahme der Applikation Aktion 4 Markieren Sie die VPN Gruppe RemoteCentral und überprüfen Sie, ob sich die Module Central und Remote dort befinden. 5 Markieren Sie unter All Modules (Alle Module) das erste Module Central und öffnen Sie über einen Doppelklick oder Rechte Maustaste > Properties (Eigenschaften) die Eigenschaften. Wechseln Sie in die Registerkarte VPN. Anmerkung Der S612 V3 der Zentrale ist passiv d.h. es wartet auf eine VPN-Verbindung. Wählen Sie entsprechend bei Permission to initiate the connection (Erlaubnis zur Initiierung des Verbindungsaufbaus) Wait for partner (Warte auf Gegenstelle). Tragen Sie bei WAN IP address (WAN IP Adresse) die feste, öffentliche IPAdresse Ihres DSL-Routers der Zentrale ein. Schließen Sie den Dialog mit OK. 6 Copyright Siemens AG 2012 All rights reserved Nr. Markieren Sie auch das zweite Module Remote und öffnen Sie über einen Doppelklick oder Rechte Maustaste > Properties (Eigenschaften) die Eigenschaften. Wechseln Sie in die Registerkarte VPN. Der S612 V3 der Außenstation ist aktiv d.h. es baut die VPN-Verbindung auf. Wählen Sie entsprechend bei Permission to initiate the connection (Erlaubnis zur Initiierung des Verbindungsaufbaus) Start connection to partner (Starte Verbindung zur Gegenstelle). Tragen Sie bei WAN IP address (WAN IP Adresse) die feste, öffentliche IPAdresse Ihres DSL-Routers der Außenstation ein. Schließen Sie den Dialog mit OK. 7 30 Bestätigen Sie die Warnung jeweils mit OK. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 5 Inbetriebnahme der Applikation 5.4.5 Laden der Module Tabelle 5-8 Aktion 1 Verbinden Sie das PG mit der externen Schnittstelle des S612 V3 der Zentrale. 2 Markieren Sie unter All Modules (Alle Module) das erste Modul Central. Laden Sie die Konfiguration über das entsprechende Icon in das Modul. 3 Vor dem Laden der Module muss das Projekt gespeichert werden. Bestätigen Sie die Warnung mit OK. 4 Speichern Sie die Konfiguration, falls noch nicht geschehen, ab. 5 Starten Sie über den Button Start das Laden der Konfigurationsdateien. 6 Markieren Sie unter All Modules (Alle Module) das zweite Modul Remote. Laden Sie die Konfiguration über das entsprechende Icon in das Modul. Anmerkung Copyright Siemens AG 2012 All rights reserved Nr. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 31 5 Inbetriebnahme der Applikation Nr. 7 Starten Sie über den Button Start das Laden der Konfigurationsdateien. 8 Markieren Sie unter All Modules (Alle Module) das dritte Module Service. Laden Sie die Konfiguration über das entsprechende Icon in das Modul. 9 Für den SOFTNET Security Client werden die Konfigurationsdaten in einer separaten .dat-Datei gespeichert. Wählen Sie einen Speicherort und speichern Sie die Datei ab. 10 Für die Zertifikate kann ein zusätzliches Passwort vergeben werden. Bestätigen Sie die Meldung mit Ja. 11 Tragen Sie ein Passwort ein und bestätigen Sie mit OK. Siemens AG 2012 All rights reserved Copyright Aktion 32 Anmerkung Fernwirkkonzept V2.0, Beitrags-ID: 22056713 5 Inbetriebnahme der Applikation 5.5 Aktivierung des SOFTNET Security Client Dieses Kapitel zeigt Ihnen, wie Sie den SOFTNET Security Client aktivieren können. Tabelle 5-9 Nr. 1 Öffnen Sie den SOFTNET Security Client über Start > SIMATIC >SCALANCE > Security >SOFTNET Securiry Client. 2 Klicken Sie auf den Button Load Configuration (Lade Konfiguration). 3 Navigieren Sie zu dem Pfad, der die Konfigurationsdatei und Zertifikate für den SOFTNET Security Client enthält. Laden Sie diese .dat Datei über Open (Öffnen). 4 Falls Sie bereits eine Konfiguration im SOFTNET Security Client gespeichert haben, wird diese überschrieben. Bestätigen Sie die Warnung mit OK. 5 Löschen Sie die existierende Konfiguration und gehen Sie über Next (Weiter) zur nächsten Handlung. Siemens AG 2012 All rights reserved Copyright Aktion Fernwirkkonzept V2.0, Beitrags-ID: 22056713 Anmerkung 33 5 Inbetriebnahme der Applikation Nr. Aktion 6 Sie werden nun nach dem Passwort gefragt, dass Sie beim Transfer der Konfigurationsdatei für den SOFTNET Security Client aus dem Security Configuration Tool vergeben haben. Geben Sie ihr Passwort ein und klicken Sie auf Next (Weiter). 7 Wählen Sie nun aus, ob für die in der Konfiguration projektierten Teilnehmer (statisch konfigurierte Teilnehmer) die Tunnelverbindungen aktiviert werden sollen. Klicken Sie auf Yes (Ja). Anmerkung 8 Über den Button Tunnel overview (Tunnelübersicht) erhalten Sie einen Überblick der konfigurierten Tunnelverbindungen und deren Status. 9 In dieser Tabelle werden alle konfigurierten VPN-Tunnel mit Namen, Status, NetzID des zu erreichenden Netzwerks und die WAN IP-Adresse zur Verbindung mit der Gegenstelle angezeigt. 10 Überprüfen Sie, ob in der Spalte Tunnel over (Tunnel über) die Netzwerkadresse 192.168.2.4 angezeigt wird. Ist dies nicht der Fall, klicken Sie auf Rechte Maustaste > Select Network Device (Netzwerkadapter wählen). Wählen Sie die passende Netzwerkkarte aus und übernehmen Sie mit OK. Copyright Siemens AG 2012 All rights reserved Der Tunnel zwischen den SCALANCE S Modul und dem SOFTNET Security Client wird nun aufgebaut. 34 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 5 Inbetriebnahme der Applikation 5.6 Konfiguration von VNC VNC (Virtual Network Computing) ist eine Fernwartungssoftware nach dem ClientServer Prinzip und ermöglicht die Bedienung eines entfernten Rechners (Server) über den lokalen Rechner (Client). Tabelle 5-10 Nr. Aktion Starten Sie am FernwartungsPC den Server-Konfigurationsdialog über Start > Programs > RealVNC > VNC Server 4 (User-Mode) > Configure User-Mode Settings 2 Klicken Sie in der Registerkarte Authentification auf Configure. 3 Tragen Sie ein Passwort ein, mit dem sich die Clients am Server authentifizieren müssen. Bestätigen Sie die Eingabe mit OK. 4 Starten Sie am FernwartungsPC den Server über Start > Programs > RealVNC > VNC Server 4 (User-Mode) > Run VNC Server Copyright Siemens AG 2012 All rights reserved 1 Anmerkung Fernwirkkonzept V2.0, Beitrags-ID: 22056713 35 5 Inbetriebnahme der Applikation Nr. 5 Aktion Anmerkung Starten Sie am PG den VNC Client über Start > Programs > RealVNC > VNC Viewer 4 > Run VNC Viewer. Tragen Sie bei Server die IP-Adresse des FernwartungsPCs (172.158.2.2) ein. Klicken Sie auf OK. Wenn die Verbindung zum Server aufgebaut ist, müssen Sie das Passwort zur Authentifizierung des Clients eingeben. Bestätigen Sie mit OK. 7 Nach erfolgreicher Authentifizierung öffnet sich ein neues Fenster mit dem Bildschirm des FernwartungsPCs. Copyright Siemens AG 2012 All rights reserved 6 36 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 6 Bedienung der Applikation 6 Bedienung der Applikation 6.1 Voraussetzung Um die vorgestellten Szenarien testen zu können, ist es erforderlich, dass die konfigurierten VPN-Tunnelverbindungen zu den jeweiligen Kommunikationspartnern bestehen. SOFTNET Security Client Steht die Verbindung zu den Kommunikationspartnern, werden diese im SOFTNET Security Client als aktiv bzw. erreichbar (blaues Icon oder grüner Punkt) angezeigt. Copyright Siemens AG 2012 All rights reserved Abbildung 6-1 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 37 6 Bedienung der Applikation Security Configuration Tool In der Online-Ansicht des Konfigurations-Tools werden im Register Communication Status (Kommunikationsstatus) die aufgebauten VPN-Tunnels angezeigt. Copyright Siemens AG 2012 All rights reserved Abbildung 6-2 38 Fernwirkkonzept V2.0, Beitrags-ID: 22056713 6 Bedienung der Applikation 6.2 Bedienung Laden der S7-CPU Tabelle 6-1 Copyright Siemens AG 2012 All rights reserved Nr. Aktion 1 Starten Sie sowohl den VNC Server am FernwartungsPC als auch den VNC Viewer am PG. 2 Nach erfolgreicher Verbindung wird am PG der Bildschirm des FernwartungsPC gezeigt. Öffnen Sie über VNC den SIMATIC MANAGER. 3 Öffnen Sie das Projekt VPN_S612 und laden Sie über das entsprechende Icon das Projekt in die CPU. Anmerkung HTML-Seite des CP343-1 Advanced Tabelle 6-2 Nr. Aktion 1 Öffnen Sie über VNC auf dem FernwartungsPC einen Internet Browser. 2 Tragen Sie in die Adressleiste die IPAdresse des CP343-1 Advanced ein (140.80.0.2). Die interne HTML-Seite der Kommunikationsbaugruppe öffnet sich. Fernwirkkonzept V2.0, Beitrags-ID: 22056713 Anmerkung 39 7 Literaturhinweis 7 Literaturhinweis 7.1 Literaturangaben Diese Liste ist keinesfalls vollständig und spiegelt nur eine Auswahl an geeigneter Literatur wieder. Tabelle 7-1 Themengebiet Titel /1/ SCALANCE S SCALANCE S und SOFTNET Security Client /2/ SIMATIC NET Security SIMATIC NET Industrial Ethernet Security Grundlagen und Anwendung Projektierungshandbuch http://support.automation.siemens.com/WW/view/de/21718449 http://support.automation.siemens.com/WW/view/de/56577508 /3/ Getting Started SIMATIC NET Industrial Ethernet Security Security einrichten Getting Started Copyright Siemens AG 2012 All rights reserved http://support.automation.siemens.com/WW/view/de/61630590 7.2 Internet-Link-Angaben Diese Liste ist keinesfalls vollständig und spiegelt nur eine Auswahl an geeigneten Informationen wieder. Tabelle 7-2 Themengebiet Titel \1\ Siemens I IA/DT Customer Support http://support.automation.siemens.com \2\ Welche Firewallregeln sind für den SCALANCE S zu konfigurieren, um mit dem PG/PC über den SCALANCE und Router ins Internet zu gelangen? http://support.automation.siemens.com/WW/vie w/de/26517928 \3\ Fernwirkkonzept mit SCALANCE S Modulen über IPsec-gesicherte VPNTunnel http://support.automation.siemens.com/WW/view/de/ 22056713 \4\ WAN Zugangsmethoden http://support.automation.siemens.com/WW/view/de/ 26662448 \5\ Gesicherter Remote Access auf SIMATIC Stationen über Internet und UMTS http://support.automation.siemens.com/WW/vie w/de/24960449 8 Historie Tabelle 8-1 Version 40 Datum Änderung V1.0 16.02.2010 Erste Ausgabe V2.0 01.07.2012 Überarbeitung der Kapitel und Update der Hardware und Software auf die aktuellen Versionen Fernwirkkonzept V2.0, Beitrags-ID: 22056713