网络安全相关建议注意信息安全在运行设备之前，连接设备并更改用户“admin”和“user”的标准密码。要更改密码，登录时需具有组态数据的写访问权限。为防止设备和/或网络受到未经授权的访问，请遵循以下安全建议。常规•定期检查设备，以确保遵守这些建议和/或其它内部安全策略。• 从安全角度对工厂进行整体评估。将单元保护机制与适当的产品•断开内部和外部网络时，攻击者无法从外部访问内部数据。因此请仅在受保护的网络区域内运行该设备。•对于在非安全基础架构中的操作，Siemens 不承担任何产品责任。• 使用 VPN 进行加密和验证与设备进行的通信。•对于通过非安全网络进行的数据传输，使用加密的 VPN 隧道（IPsec、OpenVPN）。•正确单独连接（WBM、Telnet、SSH 等）。• 查看与设备一起使用的其它 Siemens 产品的用户文档，以获取更多安全建议。•通过远程记录，可确保将系统协议转发到中央记录服务器。确保服务器位于受保护的网络内，并定期检查协议是否存在潜在的安全违规情况或漏洞。物理访问•应将该设备限制为仅允许合格人员进行物理访问，因为插入式数据介质可能包含敏感数据。•锁定设备上未使用的物理接口。因为即使未经许可，也可以通过未使用的接口对工厂进行访问。SCALANCE X-200操作说明,11/2021, C79000-G8952-C284-15 13软件（安全功能）• 保持固件为Zui新。定期检查设备的安全更新。
• 仅激活使用设备所需的协议。•禁用安全等级较低的加密方法。• VLAN 结构化选项可针对 DoS攻击和未经授权的访问提供保护。请检查该功能在您的环境下是否实用或有效。•通过中央记录服务器对更改和访问进行记录。在受保护的网络区域内运行记录服务器，并定期检查记录信息。验证说明可访问性风险 -数据损失风险请勿丢失设备的密码。只能通过将设备复位为出厂设置（这会完全删除所有组态数据）来恢复对设备的访问。•使用设备之前，请更换所有用户帐户、访问模式和应用程序（如适用）的默认密码。• 定义密码分配规则。•使用密码强度高的密码。避免使用密码强度弱的密码（如，password1、123456789、abcdefgh）或重复字符（如，abcabc）。此建议也适用于对设备组态的对称密码/密钥。•确保密码受保护且只透露给授权的人员。• 请勿对多个用户名和系统使用相同的密码。• 将密码存储在安全位置（非在线），以便在丢失时使用。•定期更改密码以tigao安全性。• 如果已知或者疑似有未经授权的人员知道了密码，则必须更改密码。网络安全相关建议SCALANCEX-20014 操作说明, 11/2021, C79000-G8952-C284-15• 通过 RADIUS执行用户验证时，请确保所有通信均在安全环境中进行或均受到安全通道的保护。• 注意在端点之间不提供自身验证的链路层协议，例如 ARP 或IPv4。攻击者可利用这些协议中的漏洞来攻击连接到您的第 2 层网络的主机、交换机和路由器，例如，通过操纵子网中系统的 ARP缓存或使其中毒并随后拦截数据liuliang。对于非安全第 2层协议，必须采取适当的安全措施，以防对网络进行未经授权的访问。对本地网络的物理访问可以是安全的，也可以使用更高层的协议。证书和密钥•自固件版本 V5.2.5 起，已由之前的 RSA证书转为使用可实现椭圆形曲线加密的证书（“ECDSA”证书）。仅可使用通过以下曲线生成的 PEM 格式的 ECDSA 证书：–secp256r1 (NIST P-256)– secp384r1 (NIST P-384)– secp521r1 (NISTP-521)自该固件版本开始，不再支持 RSA 证书。设备中现有的 RSA 证书会自动替换为自签名ECDSA 证书。•设备上预设的密钥长度为 256 位的 SSL证书可用于椭圆形曲线加密。将该证书替换为自制的含密钥证书。建议您使用由可靠外部或内部认证机构签署的证书。•使用认证机构（包括密钥撤销与管理）来签署证书。• 确保用户自定义的私人密钥都受到保护，未授权人员无法访问。•验证服务器和客户端上的证书和指纹，避免“中间人”的攻击。• 如果怀疑发生泄露，请立即更改证书和密钥。安全/非安全协议•应避免使用或禁用非安全协议，例如 Telnet 和TFTP。由于历史原因，这些协议可用，但并不适用于安全应用。请慎重对设备使用非安全协议。• 检查是否有必要使用以下协议和服务：–未验证和未加密的端口– MRP、HRP– LLDP– DHCP 选项 66/67以下协议具有安全备选方法：– HTTP →HTTPS– TFTP → FTPS– Telnet → SSH– SNTP → NTP检查是否有必要使用 NTP。NTP的分类为非安全协议。在 NTP 服务器支持安全 NTP 的情况下激活此协议，并使用安全 NTP 的验证和加密机制。–SNMPv1/v2c → SNMPv3检查是否有必要使用 SNMPv1/v2c。SNMPv1/v2c被归为非安全协议。使用阻止写访问的选项。设备会为您提供适合的设置选项。如果 SNMP已启用，请更改社区名称。如果不需要不受限制的访问，请通过 SNMP 限制访问。使用 SNMPv3 的验证和加密机制。•在物理保护措施未阻止设备访问时使用安全协议。• 如果需要非安全协议和服务，请仅在受保护的网络区域内运行该设备。•、将可用于外部的服务和协议限制到Zui少。• 要使用 DCP 功能，请在调试后启用“DCP 只读”(DCP Read Only)模式。可用协议以下列表概要介绍了打开的协议端口。该表包括以下列：• 协议• 端口号• 端口状态– 打开–关闭网络安全相关建议SCALANCE X-20016 操作说明, 11/2021, C79000-G8952-C284-15•出厂设置表示产品交付时或复位为出厂设置时的状态。• 验证指定是否对通信伙伴进行验证。•加密指定传输是否已加密。解除调试正确关闭设备，以防止未经授权的人员访问设备内存中的机密数据。为此，需要恢复设备的出厂设置。还要恢复存储介质的出厂设置。
设备描述功能X-200 工业以太网交换机的功能X-200工业以太网交换机非常适合于设置传输率为 10/100 Mbps 且采用总线、星型和环型结构的工业以太网网络。所有 X-200交换机均在 SIMATIC 环境下工作。硬件属性：• X 设备具有坚固的金属外壳，可安装在 DIN导轨、标准导轨上或直接安装在墙上。• XF 设备具有塑料外壳和扁平设计。它们适合安装在 DIN 导轨上。• 冗余电源，2 x 24VDC（例外：IRT-PRO 设备）• LED 诊断• 信号触点• 用于信号触点本地组态的 SET 按钮• C-PLUG 插槽•坚固的适合工业应用的设备连接器配合兼容 PROFINET 的 FastConnect 插头，实现可靠的插入式连接。• TS设备具有涂漆印刷电路板（保形涂层），符合铁路标准 EN 50155（铁路应用 - 轨道车辆上使用的电子设备）的要求。软件属性：•PROFINET 诊断• 拓扑支持 (LLDP)• CLI - 命令行接口/Telnet• WBM - 基于 Web 的管理• 使用STEP 7 组态• SNMP• 包括冗余管理器的环网冗余SCALANCE X-200操作说明, 11/2021,C79000-G8952-C284-15 19• 被动侦听• FM 设备支持光纤监视协议并可以对光纤线路段进行监视。X-200IRT工业以太网交换机的特性IRT 变型专用于设置具有等时/时钟同步实时通信的工业以太网网络。除上述属性外，IRT 交换机还提供以下功能：•基于直通和存储并转发交换方式组合的 IRT 通信。• 采用适用于快速以太网的集成冗余管理器，实现快速介质冗余。• 备用冗余PRO变型的特性带“PRO”的设备设计为 IP65 或 IP67 防护等级，可在机柜外使用。IP67 防护等级的特性不属于UL认证的范畴。帧延迟时间线路中所连接的工业以太网交换机 X-200 的数目将影响帧延迟时间。说明不带 IRT 的 X-200的帧延迟时间当帧通过 X-200 工业以太网交换机时，X-200 工业以太网交换机的存储并转发功能会使其延迟。• 64字节帧长度大约延迟 10 ms（100 Mbps 时）。• 1500 字节帧长度大约延迟 130 ms（100 Mbps时）。这意味着帧通过的工业以太网交换机 X-200 设备越多，帧的延迟时间就越长。说明带 IRT 的 X-200 的帧延迟时间帧通过的X-200IRT 工业以太网交换机越多，帧的延迟时间就越长。通过使用“直通”交换机制，X-200IRT 工业以太网交换机可以完全满足PROFINET 的实时要求。但是，在下列情况下不允许直通：• 在设置为 10 Mbps 的端口和设置为 100 Mbps的端口之间。• 要在一个端口上同时发送两个数据包时。在这种情况下，X-200工业以太网交换机将更改为存储并转发并且延迟时间将延长。功能概述下表详细列出了 X-200交换机每个产品变型的硬件和软件属性：产品名称中的电气和光学连接器数产品名称中连字符前的数字表示电气连接器数。连字符后的数字表示设备的光学连接器数。例如，交换机X212-2 具有 12 个电气连接器和 2 个光学连接器。产品总览订货号可在“简介 (页3)”部分中找到设备订货号。拆开包装，检查警告请勿使用任何有明显损坏的部件。如果使用损坏的部件，则无法保证设备按照规范正常工作。如果使用损坏的部件，可能导致以下问题：• 人身伤害• 失去认证• 违反 EMC法规应仅使用未损坏部件。1. 请确保包装完整。2. 检查所有部件是否由于运输而受到损坏。如果交付物品不完整或已经损坏，请与供应商或当地Siemens 办事处联系。产品组件以下组件随 SCALANCE X-200 工业以太网交换机一起提供：• 1 台设备• 一个 2针插入式端子块（信号触点）• 一个 4 针插入式端子块（电源）• 1 张 DVD（组态手册、操作说明、SINEC PNI、SNMPOPC 配置文件）型号中带 PRO 的 SCALANCE X-200 工业以太网交换机随附以下组件：• 1 台设备•用于数据接口的保护盖• 用于电源连接器的保护盖• 1 个用于信号触点的保护盖• 1 张 DVD（组态手册、操作说明、SINECPNI、SNMP OPC 配置文件）带有总线适配器插槽的 SCALANCE XF-200IRT 工业以太网交换机随附以下组件：• 1台设备• 一个 2 针插入式端子块（信号触点）• 两个 2 针插入式端子块（电源）• 1 张 DVD（组态手册、操作说明、SINECPNI、SNMP OPC 配置文件）• 对于预安装型号 SCALANCE XF202-2P IRT，还随附：– 2 个总线适配器 BASCRJ/RJ-45• 对于预安装型号 SCALANCE XF201-3P IRT，还随附：– 1 个总线适配器 BA 2xSCRJ–1 个总线适配器 BA SCRJ/RJ-45设备视图基于 X204-2TS 示例的设备视图下图介绍了工业以太网交换机 X200的各个组件。1 用于工业以太网连接的 LED2 LED• L： 电源 LED，电源• F：故障 LED• RM： 冗余管理器或备用3信号触点的连接器4 电源的连接器5 SET 按钮6 工业以太网光学连接7 工业以太网电气连接8 （在设备背面，图中未显示：）C-PLUG 插槽。基于 X202-2P IRT PRO 示例的设备视图下图介绍了工业以太网交换机 X-200 PRO版本的各个组件。1 工业以太网电气连接2 电气连接器的 LED3 光学连接器的 LED 及诊断 LED4 LED• L： 电源LED，电源• F：故障 LED• RM：– 绿色 = 冗余管理器– 黄色 = 备用指示灯5 工业以太网光学连接6 电源的连接器（随L1 提供，另外环通至 L2）7 信号触点的连接器8 其它设备的电源（从 L1 环通至 L2）9 （在设备背面，图中未显示）：C-PLUG 插槽和SET 按钮。