本组态手册的用途本手册可用来协助您组态SCALANCE X-200 工业以太网交换机。它概要说明了SCALANCE X-200 提供的技术选项，并讲述了如何用基于 Web的管理 (WBM) 以及命令行接口 (CLI) 进行组态。工业以太网交换机 X‑200 技术文档概述X-200产品线的技术文档分为硬件和软件文档，可在以下文档中找到：• PH SCALANCE X-200 组态手册X-200 产品线的软件说明•SCALANCE X-200 BA 操作说明所有产品组的硬件说明和一般信息。这些文档可以在以下位置找到：•一些产品随附的数据介质中：– 产品 CD/产品 DVD– SIMATIC NET 手册集• Siemens 工业在线支持。
本组态手册的有效性本手册适用于下列固件版本：•自固件版本 5.2.6 起的 SCALANCE X‑200/XF-200• 自固件版本 5.5.2 起的 SCALANCEX‑200IRT/XF-200IRT• 自版本 1.0 起的 SINEC PNI• 截至版本 6.2.1 的 SNMP/OPC服务器根据 SCALANCE X-200 操作说明，本手册适用于下列产品线：• SCALANCE X-200 和 SCALANCEXF-200• SCALANCE X-200IRT 和 SCALANCE XF-200IRTSCALANCE X-200 V5.2.6/ SCALANCE X-200IRT V5.5.2配置手册, 02/2023, C79000-G8952-C285-143这些操作说明中的设备的名称除非提及，否则这些操作说明中的说明适用于上述关于有效性的部分中 SCALANCEX-200产品线的所有设备。在后文的说明中，这些设备也将称为工业以太网交换机或简称为X-200。更多文档在系统手册《工业以太网/PROFINET 工业以太网》和《工业以太网/PROFINET无源网络组件》中，可以找到有关可在工业以太网网络中与该产品系列的设备一起使用的其它 SIMATIC NET产品的信息。可以在Siemens 工业在线支持 Internet 页面的以下条目 ID 下找到系统手册：• 27069465《工业以太网/PROFINET 工业以太网》系统手册• 84922825 《工业以太网/PROFINET -无源网络组件》系统手册查找信息为帮助定位，不仅提供了目录，附录中还包含了索引。SIMATIC NET词汇表还提供其它帮助，请参见下文。读者这些操作说明适用于对使用工业以太网交换机的网络进行调试的相关人员。SIMATIC NET选择工具当选择工业以太网交换机和工业无线通信的组件时，SIMATIC NET 选择工具可为您提供支持。您可在产品支持页面的以下条目ID 下找到Zui新信息本组态手册的内容本手册介绍了以太网交换机的组态。如果要使用SNMP、回路检测、环网冗余或电子邮件等功能，需要组态工业以太网交换机。手册还介绍了固件更新以及 C-PLUG方面的问题。前言SCALANCE X-200 V5.2.6 / SCALANCE X-200IRT V5.5.24 配置手册,02/2023,C79000-G8952-C285-14进行组态之前，必须安装并连接好设备。可以在操作说明中找到安装及连接设备的必要步骤。下表给出了相关信息所对应的章节。主题章节想要了解如何构造 IP 地址，以及为以太网交换机分配 IP 地址时有哪些办法。IP 地址分配 (页37)想要对以太网交换机进行组态以及需要获取相关 CLI 命令的信息，或者要了解需要对“基于 Web 的管理”的哪一页进行编辑。使用WBM 和 CLI 组态 (页 41)要了解如何用 SNMP 管理以太网交换机。 通过 SNMP 组态 (页 163)想要了解关于SCALANCE X-200 的 IRT 技术的信息。与 X-200 进行 IRT 通信 (页19)要了解如何对所连接的以太网交换机使用PROFINET IO 选项。与 PROFINET IO 的连接 (页167)想要更新固件。 下载固件 (页 189)更多文档在系统手册《工业以太网/PROFINET工业以太网》和《工业以太网/PROFINET 无源网络组件》中，可以找到有关可在工业以太网网络中与该产品系列的设备一起使用的其它SIMATIC NET产品的信息。其中还包含安装所需的通信伙伴的光学性能数据。系统手册可在以下位置找到：•一些产品随附的数据介质中：– 产品 CD/产品 DVD– SIMATIC NET 手册集• Siemens 工业在线支持的Internet 页面：– 《工业以太网/PROFINET 工业以太网》系统手册SIMATIC NET 手册用户可在以下位置找到SIMATIC NET 手册：• Siemens 工业在线支持SIMATIC NET词汇表对于本文档中所用的许多专业术语，SIMATIC NET 词汇表部分都给出了解释。用户可在以下位置找到 SIMATIC NET词汇表：• SIMATIC NET 手册集或产品 DVD该 DVD 随一些 SIMATIC NET 产品一起提供。• Internet上的以下地址安全性信息安全性信息Siemens为其产品及解决方案提供了工业信息安全功能，以支持工厂、系统、机器和网络的安全运行。为了防止工厂、系统、机器和网络受到网络攻击，需要实施并持续维护先进且全面的工业信息安全保护机制。Siemens的产品和解决方案构成此类概念的其中一个要素。客户负责防止其工厂、系统、机器和网络受到未经授权的访问。只有在有必要连接时并仅在采取适当安全措施（例如，防火墙和/或网络分段）的情况下，才能将该等系统、机器和组件连接到企业网络或Internet。Siemens 不断对产品和解决方案进行开发和完善以tigao安全性。Siemens强烈建议您及时更新产品并始终使用Zui新产品版本。如果使用的产品版本不再受支持，或者未能应用Zui新的更新程序，客户遭受网络攻击的风险会增加。要及时了解有关产品更新的信息，请订阅Siemens 工业信息安全 RSS源固件/软件支持的说明定期检查新固件/软件版本或安全更新并加以应用。新版本发布后，先前版本不再受支持，也不再进行维护。许可证条款说明开源软件在使用本产品之前，请仔细阅读开源软件的许可证条款。在所提供的数据介质中，下列文档提供有许可证条款：•DOC_OSS-SCALANCE-X_74.pdf• DC_LicenseSummaryScalanceX200_76.pdf•DC_LicenseSummaryScalanceX200IRT_76.pdf可在产品 DVD 的以下路径中找到这些文档： /OpenSource Information商标下文的一些名称以及可能的其它名称不带注册商标符号 ®，它们均为 Siemens AG的注册商标：SCALANCE, C-PLUG, OLM
安全建议在运行设备之前，连接设备并更改用户“admin”和“user”的标准密码。要更改密码，登录时需具有组态数据的写访问权限。为防止设备和/或网络受到未经授权的访问，请遵循以下安全建议。常规•定期检查设备，以确保遵守这些建议和/或其它内部安全策略。• 评估位置安全性，并将单元保护机制与适当的产品配合使用。•断开内部和外部网络时，攻击者无法从外部访问内部数据。请仅在受保护的网络区域内运行该设备。•对于在非安全基础架构中的操作，Siemens 不承担任何产品责任。• 使用 VPN 进行加密和验证与设备进行的通信。•对于通过非安全网络进行的数据传输，使用加密的 VPN 隧道（IPsec、OpenVPN）。• 正确单独连接（WBM、SSH 等）。•查看与设备一起使用的其它 Siemens 产品的用户文档，以获取更多安全建议。•通过远程记录，可确保将系统协议转发到中央记录服务器。确保服务器位于受保护的网络内，并定期检查协议是否存在潜在的安全违规情况或漏洞。物理访问•应将该设备限制为仅允许合格人员进行物理访问，因为插入式数据介质可能包含敏感数据。•锁定设备上未使用的物理接口。因为未经许可，也可以通过未使用的接口对工厂进行访问。软件（安全功能）•保持固件为Zui新。定期检查设备的安全更新。• 仅激活使用设备所需的协议。• 禁用安全等级较低的加密方法。• VLAN 结构化选项可针对DoS 攻击和未经授权的访问提供保护。请检查该功能在您的环境下是否实用或有效。•通过中央记录服务器对更改和访问进行记录。在受保护的网络区域内运行记录服务器，并定期检查记录信息。说明可访问性风险 -数据损失风险请勿丢失设备的密码。只能通过将设备复位为出厂设置（这会完全删除所有组态数据）来恢复对设备的访问。•使用设备之前，请更换所有用户帐户、访问模式和应用程序（如适用）的默认密码。• 定义密码分配规则。•使用密码强度高的密码。避免使用密码强度弱的密码（如，password1、123456789、abcdefgh）或重复字符（如，abcabc）。此建议也适用于对设备组态的对称密码/密钥。•确保密码受保护且只透露给授权的人员。• 请勿对多个用户名和系统使用相同的密码。• 将密码存储在安全位置（非在线），以便在丢失时使用。•定期更改密码以tigao安全性。• 如果已知或者疑似有未经授权的人员知道了密码，则必须更改密码。• 通过 RADIUS执行用户验证时，请确保所有通信均在安全环境中进行或均受到安全通道的保护。• 注意在端点之间不提供自身验证的链路层协议，例如 ARP 或IPv4。攻击者可利用这些协议中的漏洞来攻击连接到您的第 2 层网络的主机、交换机和路由器，例如，通过操纵子网中系统的 ARP缓存或使其中毒并随后拦截数据liuliang。对于非安全第 2层协议，必须采取适当的安全措施，以防对网络进行未经授权的访问。对本地网络的物理访问可以是安全的，也可以使用更高层的协议。证书和密钥•自固件版本 V5.2.5（对于 SCALANCE X‑200/XF-200）以及 V5.5.2（对于SCALANCEX‑200IRT/XF-200IRT）起，不再使用 RSA 证书，将使用椭圆曲线加密证书（“ECDSA证书”）。仅可使用通过以下曲线生成的 PEM 格式的 ECDSA 证书：– secp256r1 (NIST P-256)–secp384r1 (NIST P-384)– secp521r1 (NIST P-521)自该固件版本开始，不再支持 RSA证书。设备中现有的 RSA 证书会自动替换为自签名ECDSA 证书。• 设备上预设的密钥长度为 256 位的 SSL证书可用于椭圆形曲线加密。将该证书替换为自制的含密钥证书。建议您使用由可靠外部或内部认证机构签署的证书。•使用认证机构（包括密钥撤销与管理）来签署证书。• 确保用户自定义的私人密钥都受到保护，未授权人员无法访问。•验证服务器和客户端上的证书和指纹，避免“中间人”的攻击。• 如果怀疑发生泄露，请立即更改证书和密钥。
安全/非安全协议•应避免使用或禁用非安全协议，例如 Telnet 和TFTP。由于历史原因，这些协议可用，但并不适用于安全应用。请慎重对设备使用非安全协议。• 检查是否有必要使用以下协议和服务：–未验证和未加密的端口– MRP、HRP– LLDP– DHCP 选项 66/67以下协议具有安全备选方法：– HTTP →HTTPS– TFTP → FTPS– Telnet → SSH– SNTP → NTP检查是否有必要使用 NTP。NTP的分类为非安全协议。在 NTP 服务器支持安全 NTP 的情况下激活此协议，并使用安全 NTP 的验证和加密机制。–SNMPv1/v2c → SNMPv3检查是否有必要使用 SNMPv1/v2c。SNMPv1/v2c被归为非安全协议。使用阻止写访问的选项。设备会为您提供适合的设置选项。如果 SNMP已启用，请更改社区名称。如果不需要不受限制的访问，请通过 SNMP 限制访问。使用 SNMPv3 的验证和加密机制。•在物理保护措施未阻止设备访问时使用安全协议。• 如果需要非安全协议和服务，请仅在受保护的网络区域内运行该设备。•、将可用于外部的服务和协议限制到Zui少。• 要使用 DCP 功能，请在调试后启用“DCP 只读”(DCP Read Only)模式。