说明按顺序执行创建 ACL规则的顺序与检查这些规则的顺序一致。只要有规格符合要求，则立即启用。随后的规则将被忽略。创建新的规则1. 在“IP 地址”(IPAddress) 输入框中输入 IP 地址。2. 在“子网掩码”(Subnet Mask) 输入框中输入子网掩码。3.单击“Create”按钮在表中创建新行。4. 组态新行的条目。5. 单击“设置值”(Set Values)按钮将新条目传输到设备。启用功能1. 选中“管理 ACL”(Management ACL) 复选框。2. 单击“设置值”(Setvalue) 按钮启用组态的访问规则。更改规则1. 组态要更改的规则数据。2. 单击“SetValues”按钮将更改传输到设备。删除规则1. 选中要删除的行中的复选框。2. 对每个要删除的条目重复此步骤。3.单击“删除”(Delete) 按钮。将删除规则并更新页面。使用“基于 Web 的管理”进行组态6.7“Security”菜单SCALANCE XB-200/XC-200/XF-200BA/XP-200/XR-300WG WebBased Management V4.3.1420 配置手册, 11/2021, C79000-G8952-C360-136.7.6暴力破解预防组态说明暴力破解预防是指试图通过数量足够大的密码防止设备受到未授权访问。会通过限制特定时间段内的错误登录尝试次数实现此目的。使用“基于Web 的管理”进行组态6.7 “Security”菜单SCALANCEXB-200/XC-200/XF-200BA/XP-200/XR-300WG Web Based ManagementV4.3.1配置手册, 11/2021, C79000-G8952-C360-13 421显示框说明该页面包含以下框：• 用户特定BFP 已启用 (User 4pecific BFP enabled)/用户特定 BFP 已禁用 (User 4pecificBFPdisabled)显示是否启用用户特定的暴力破解预防。登录身份验证决定了是否可启用用户特定的暴力破解预防。在“安全 > AAA> 常规”(Security > AAA > General) 菜单中的“登录身份验证”(LoginAuthentication) 下拉列表中组态登录身份验证。用户特定的暴力破解预防可用于“本地”(Local) 和“本地和RADIUS”(Local and RADIUS) 模式，不可用于“RADIUS”和“RADIUS 和本地回退”(RADIUSandFallback Local) 模式。• 每个用户的可接受无效登录尝试次数 (Acceptable Invalid LoginAttempts PerUser)用户的Zui大无效登录尝试次数，超过此次数后，将禁止登录。所有未组态为设备本地用户的用户均会归纳到用户名“UnknownUser”下。如果组态值“0”，则会禁用用户特定的暴力破解预防。默认值为“12”。•已启用 IP 特定的 BFP (IP 4pecific BFP enabled)显示是否启用用户特定的暴力破解预防。• 每个 IP的可接受无效登录尝试次数 (Acceptable Invalid IP Login Attempts Per IP)IP地址的Zui大无效登录尝试次数，超过此次数后，将禁止登录。如果组态值“0”，则会禁用 IP 特定的暴力破解预防。默认值为“10”。•BFP 触发间隔 (BFP TriggerInterval)与计算无效登录尝试次数相关的时间（以分钟为单位）。如果在此时间内达到允许的无效登录尝试次数（每个用户和每个 IP地址），设备会在特定时间段内禁止登录。每个用户和每个 IP 地址的无效登录尝试次数是彼此独立处理的。可输入 5 到 255分钟之间的值。默认值为 5 分钟。• BFP 自动复位定时器 (BFP Automatic ResetTimer)设备因超出Zui大无效登录尝试次数而禁止登录的持续时间。可输入 0 到 255分钟之间的值。如果组态的值为“0”，则在达到Zui大无效登录尝试次数后即将无限期地禁止登录。默认值为 12 分钟。“用户特定BFP”(User 4pecific BFP) 表包括以下列：• 用户 (User)尝试登录的用户。• 失败登录次数 (FailedLogins)登录尝试失败次数。• 802.1X 重新验证 (802.1XRe-Authentication)如果想要对已经过身份验证的终端设备周期性重复进行身份重新验证，请启用此选项。• 重新验证超时(Re-Authentication Timeout)指定设备在相关接口中进行重新验证之前经过的时间间隔（以秒为单位）。默认值为3600秒。• Tx 超时 (Tx Timeout)该值指定无客户端响应的情况下发送 EAP请求数据包之前经过的时长（以秒为单位）。如果已启用 MAC 身份验证，会在发送第三个 EAP 请求数据包后从 802.1X身份验证切换为MAC 身份验证。默认值为 5 秒。• MAC 身份验证 (MAC Authentication)如果想要使用“MAC身份验证”方法对终端设备进行身份验证，请启用此选项。如果 “802.1X 验证控制”(802.1X Auth. Control)组态为“自动”(Auto) 且“MAC 身份验证”(MAC Authentication) 已启用，则“802.1X”步骤的超时为 5秒。如果使用“802.1X”程序进行身份验证时需要在端口上进行手动输入，5秒时间可能不够。为了能够使用“802.1X”进行身份验证，需在该端口上禁用 MAC 身份验证。• jinxian超时时进行 MAC验证 (MAC Auth. only on Timeout)选中该复选框后，只有在 802.1X 超时后才能进行 MAC 验证，但在802.1X 验证失败后不能进行。如果未选中该复选框，则在 802.1X 超时和 802.1X 验证失败后均可进行 MAC验证。•“允许的 RADIUS VLAN 分配”(RADIUS VLAN Assignment Allowed)RADIUS服务器将端口所属的 VLAN 通知工业以太网交换机。如果要考虑服务器通知的信息，请启用此选项。如果设备上已创建VLAN，则端口只能分配给 VLAN。否则拒绝身份验证。• MAC 验证允许的Zui大地址数 (MAC Auth.Max AllowedAddresses)指定可以同时在端口上通信的 MAC 地址数目。说明如果设备使用多个 MAC 地址，则必须对所有 MAC地址进行身份验证。将所有待验证的MAC 地址存储到 RADIUS 服务器上。在“MAC 验证Zui大许可地址”(MACAuth.MaxPermitted Addresses) 框中输入数字。• 访客 VLAN (GuestVLAN)如果希望在身份验证失败的情况下允许在“访客 VLAN”中使用终端设备，请启用此选项。如果设备上已创建VLAN，则端口只能分配给 VLAN。否则拒绝身份验证。该功能也称为“Authentication failedVLAN”。使用“基于 Web 的管理”进行组态6.7 “Security”菜单SCALANCEXB-200/XC-200/XF-200BA/XP-200/XR-300WG Web Based ManagementV4.3.1416 配置手册, 11/2021, C79000-G8952-C360-13• 访客 VLAN ID (GuestVLAN ID)输入访客 VLAN 的 VLAN ID。• 访客 VLAN 的Zui大允许地址数 (Guest VLAN MaxAllowed Addresses)指定“访客 VLAN”的此端口上可同时允许的终端设备数目。组态步骤对单独的端口启用验证1. 在表2 相关行中选中所需选项。2. 要应用更改，请单击“设置值”(Set Values) 按钮。对所有端口启用验证1. 在表 1中选中所需选项。2. 单击“复制到表”(Copy to Table) 按钮。表 2 中所有端口均采用相关设置。3.要应用更改，请单击“设置值”(Set Values) 按钮。6.7.5 ManagementACL组态说明在此页面上，可提高设备的安全性。要指定具有哪个 IP 地址的工作站允许访问设备，必须组态相应的 IP地址或一个地址范围。可选择协议和端口，以便相关工作站可使用此信息访问设备。使用“基于 Web 的管理”进行组态6.7“Security”菜单SCALANCE XB-200/XC-200/XF-200BA/XP-200/XR-300WG WebBased Management V4.3.1配置手册, 11/2021, C79000-G8952-C360-13417显示框说明说明启用此功能前，请注意以下几点组态错误可能意味着无法再对设备进行访问。只能通过将设备先复位到出厂默认设置，然后重新组态来解决此问题。因此应组态一个访问规则，以便在启用该功能前可对管理功能进行访问。该页面包含以下框：•管理 ACL (ManagementACL)启用或禁用针对管理工业以太网交换机进行的访问控制。默认情况下会禁用该功能。说明如果禁用了该功能，则对工业以太网交换机管理功能的访问不受限制。组态的访问规则仅在该功能启用后有效。•IP 地址 (IP Address)输入将应用规则的 IPv4 地址或网络地址。如果使用 Pv4 地址0.0.0.0，此设置适用于所有IPv4 地址。• 子网掩码 (Subnet Mask)输入子网掩码。子网掩码255.255.255.255 适用于特定的 IPv4 地址。如果要允许使用子网（如 C 子网），则输入255.255.255.0。子网掩码 0.0.0.0 适用于所有子网。该表格包括以下列：• 选择 (Select)选择要删除的行。•“规则顺序”(Rule Order)显示检查 ACL 规则的顺序。只要有规格符合要求，则立即启用。随后的规则将被忽略。• IP 地址(IP Address)显示 IPv4 地址。• 子网掩码 (Subnet Mask)显示子网掩码。使用“基于 Web的管理”进行组态6.7 “Security”菜单SCALANCEXB-200/XC-200/XF-200BA/XP-200/XR-300WG Web Based ManagementV4.3.1418 配置手册, 11/2021, C79000-G8952-C360-13• 允许的 VLAN (VLANsAllowed)– 基础网桥模式“802.1Q VLAN 网桥”中输入设备所在的 VLAN 的编号。仅当设备位于该组态 VLAN中时，站才能访问该设备。如果该输入框留空，则没有关于 VLAN 的限制。– 基础网桥模式“802.1D 透明网桥”中不能定义与VLAN 相关的任何访问规则。规则适用于所有 VLAN。说明与旧固件版本的兼容性如果已定义了固件版本低于 1.2 的VLAN，则会在使用默认值“1-4094”进行固件更新时替换 VLAN 组态。• SNMP指定工作站（或 IPv4 地址）是否可以使用SNMP 协议访问设备。• TELNET指定工作站（或 IPv4 地址）是否可以使用 TELNET 协议访问设备。•HTTP指定工作站（或 IPv4 地址）是否可以使用 HTTP 协议访问设备。• HTTPS指定相应工作站（或 IPv4地址）是否可以使用 HTTPS 协议访问设备。• SSH指定相应工作站（或 IPv4 地址）是否可以使用 SSH 协议访问设备。•Px.y指定相应工作站（或 IPv4 地址）是否可以通过此端口访问设备。端口由模块号和端口号组成，例如，端口 0.1 表示模块0，端口1。组态步骤说明启用此功能前，请注意以下几点错误的组态可能意味着无法再对设备进行访问。只能通过将设备先复位到出厂默认设置，然后重新组态来解决此问题。因此应组态一个访问规则，以便在启用该功能前可对管理功能进行访问。