工业以太网安全 全面保护 - 工业以太网安全的任务利用工业以太网安全，单个设备、自动化单元或以太网网段均可受到保护。通过以下各种 安全措施，可对 CP与外部网络之间的数据传输进行保护： • 数据间谍（FTPS、HTTPS） • 数据操纵 • 未授权访问 通过由 CPU 或者附加 CP实现的附加以太网/PROFINET 接口，可做到运行安全的底层网络。 适用于 S7-1500 站的 CP 的安全功能 使用 CP后，S7-1500 站便可通过外部网络接口实现以下安全功能： • 防火墙 – 具有状态数据包检查功能的 IP 防火墙（第 3 层和第4 层） – 防火墙也适用于符合 IEEE 802.3 的非 IP 帧 (Layer 2) – 传输速度限制 IPv6 地址 - 在CP 上的用途 符合 IPv6 的 IP 地址可用于以下通信服务： • FETCH/WRITE 访问（CP 为服务器） • FTP服务器模式 • 通过程序块进行寻址的 FTP 客户端模式 • 通过程序块进行寻址的电子邮件传输 • 通过 OUC 块和以下 SDT实现的 TCP： TCON_QDN, TCON_QDN_SEC • SNMP 使用 IPv6 地址时，请务必对 DNS服务器进行相应组态。 访问 CPU 的 Web 服务器 通过 CP 的 LAN 接口，可以访问 CPU 的 Web 服务器。借助于CPU 的 Web 服务器，可以读出站中的模块数据。 请注意 Web 服务器的特殊说明；请参见文档指南中的“前言 (页 3)”。 说明使用 HTTPS 协议进行 Web 服务器访问 SIMATIC S7-1500 站的 Web 服务器位于 CPU 中。因此，在使用CP 1543-1 的 IP 地址对站的 Web 服务器进行安全访问 (HTTPS) 时，将显示 CPU 的 SSL 证书。用于FETCH/WRITE 的 S5/S7 寻址模式 FETCH/WRITE 访问的寻址模式可以组态为 S7 或 S5寻址模式。寻址模式指定了在数据访问期间标识起始地址位置的方式（S7 寻址模式仅适用于数据块/DB）。 请阅读 STEP 7在线帮助中的附加信息。– 全局和用户专用防火墙规则集 防火墙保护功能可应用于单个设备、多个设备或整个网段的运行。 • 记录为允许监视，可将事件存储在日志文件中，日志文件可通过 STEP 7 读出，也可以自动发送到 Syslog 服务器。 • FTPS（显式模式） 用于加密传送文件。 • NTP (secure) 用于安全的时钟同步 • SMTPS 通过端口 587 安全传送电子邮件• SNMPv3 用于安全传送网络分析信息，使其免受窃听通信模块的组态限制 使用此处描述的 CP 类型时，以下限制适用： •可以在机架中运行的通信模块数量取决于正在使用的 CPU 型号。 通过运行多个CM/CP，可以针对整个站提高下文列出的组态限制。但是，CPU 已对整个组态设置了限制。通过在系统限制的框架内使用多个 CP，可增加CP 提供的组态的大小。 请注意 CPU 文档中的信息，参见文档指南中的“前言 (页 3)”。 说明 通过 CPU提供的电源充足或需要更多电源模块 在 S7-1500 站中可运行一定数量的模块，无需增加电源。对于特定 CPU型号，请确保为背板总线持续提供指定的馈电。根据 S7-1500 站的组态，您可能需要提供更多电源模块。工业以太网上可自由使用的连接总数118 此值适用于以下类型的连接总数： • S7 连接 • 开放式通信服务的连接 • FTP（FTP 客户端）CPU 的连接资源 根据CPU 型号，有不同数量的连接资源可用。连接资源的数量是可组态连接数量的决定性因素。这 意味着实际可实现的值可能小于在介绍 CP的部分中指定的值。 Open User Communication (OUC) 通过 TCP、ISO-on-TCP、ISO 传输协议和UDP 连接提供通信访问。 以下特性非常重要 (OUC + FETCH/WRITE)：CPU 的连接资源 根据 CPU型号，有不同数量的连接资源可用。连接资源的数量是可组态连接数量的决定性因素。这 意味着实际可实现的值可能小于在介绍 CP的部分中指定的值。 有关连接资源主题的详细信息，请参见“通信”功能手册，参见文档指南中的“前言 (页 3)”。 UDP 的限制 •UDP 广播/组播 为避免由于广播/组播帧流量较高而导致 CP 过载，可限制在 CP 上接收 UDP 广播/组播；参见“设置 (页39)”部分。 • UDP 帧缓冲 帧缓冲的长度：至少 7360 个字节缓冲区溢出后，新到达的帧如果不是由用户程序获取，则将被丢弃。S7-1500 站的Zui大值 根据正在使用的 CPU，S7-1500站存在限值。请注意相关文档中的信息。用于 FTP/FTPS 模式的特性数据 FTP 的 TCP 连接 通过 TCP 连接从 CP 传输FTP 操作。下列特性适用： • FTP 客户端模式 Zui多可以使用 32 个 FTP 会话。 每个已激活的 FTP 会话Zui多占用 2个 TCP 连接（1 个控制连接和 1 个数据连接）。 • FTP 服务器模式 Zui多可同时运行 16 个 FTP 会话。 每个已激活的FTP 会话Zui多占用 2 个 TCP 连接（1 个控制连接和 1 个数据连接）。 FTP 客户端模式的程序块 FTP_CMD要进行通信，请使用程序块 FTP_CMD。 在 FTP中的块执行时间取决于伙伴的响应时间和用户数据长度。因此不存在普遍有效的声明。
防火墙规则将按如下方式进行划分： • Zui多为226 个具有单独地址的规则 • Zui多 30 个具有地址范围或网络地址的规则 （如140.90.120.1-140.90.120.20 或 14.90.120.0/16） • Zui多 128个具有传输速度限制的规则可用的 CPU 以下 CPU 可用作通信模块的本地 CPU： • 兼容的 CPU对于以下产品系列，可在固件版本 V2.1 及更高版本的 STEP 7 中组态所有 CPU： – 标准 CPU (CPU 15xx) –紧凑型 CPU (CPU 15xxC) 例外 • 以下 CPU 不兼容： – H-CPU (CPU 1517H-x PN) –R-CPU (CPU 151xR-x PN) 说明 确保通信模块的固件为Zui新版本 为避免将版本较新的 CPU与版本较旧的通信模块同时使用时时出现问题，应保证通信模块的固件为Zui新版本。 定期检查固件的安全更新，并使用这些更新。有关产品新闻和新固件版本的信息，请访问以下地址项目工程 组态和下载组态数据 将组态数据下载到 CPU 时，会向 CP 提供相关组态。可通过存储卡或 S7-1500 站的任意以太网/PROFINET 接口将组态数据下载到 CPU； 需要以下版本的 STEP7：不存在以太网连接 CP 的以太网接口和通信伙伴之间不存在以太网连接 。当前没有通过以太网接口接收/发送数据。当前正在通过以太网上通信伙伴的以太网设备的 以太网接口接收/发送数据。存在以太网连接。 CP的以太网接口和通信伙伴之间存在以太网连接。符合千兆位规范并支持安全访问的以太网接口 CP 具有一个符合千兆位标准 IEEE802.3的以太网接口。该以太网接口支持自动跨接、自动协商和自动检测功能。 以太网接口允许通过防火墙安全连接到外部网络。CP提供以下保护功能： • 保护 CP 运行时所在的 S7-1500 站； • 保护连接到 S7-1500 站其它接口的底层公司网络。有关 D 型 RJ-45 插孔的引脚分配的信息，请参见安装和调试 CP 1543-1 (页 32)部分。使用设备的重要注意事项有关设备使用的安全须知 在设置和操作设备时，以及在所有相关工作（例如，安装、连接或更换设备）期间，注意 以下安全须知。 注意 LAN连接 LAN 或带有属于 LAN 的连接的 LAN 段应当处于单独的低压供电系统和单独的建筑中。 确保 LAN 处于符合 IEEE802.3 标准的 A 类环境或符合 IEC TR 62101 标准的 0 类环境中。 从不建立到 TNV 网络（TelephoneNetwork，电话网络）或 WAN（Wide Area Network，广域网）的直接电气连接。有关在危险场所使用的注意事项 警告清洁外壳 • 在危险区域 只能用潮湿但不浸水的布来清洁外壳的外部。 • 在非危险区域 只能用干布来清洁外壳的外部。不要使用任何液体或溶剂。 警告 设备只能在污染等级 1 或 2 的环境中运行（请参见 IEC 60664-1）。该设备专为在受限电源(LPS) 提供的可直连安全超低电压 (SELV) 下工作而设计。 因此，电源需要满足至少以下条件之一： • 只可将符合 IEC60950-1/EN 60950-1/VDE 0805-1 或 IEC 62368-1/EN 62368-1/VDE 62368-1的由受限电源 (LPS) 提供的安全超低电压 (SELV) 连接到电源端子上。 • 按照美国国家电气法规 (ANSI/NFPA70)，设备的供电装置必须符合 NEC 2 类要求。 如果设备连接有一个冗余电源（两个独立的电源），则两个电源都必须满足这些要求。符合ATEX/IECEx 要求的危险场所使用注意事项 警告 机柜/机壳要求 为符合 EC 指令 2014/34 EU (ATEX 114)或 IECEx 的条件，该机壳或机柜必须至少达到 EN 60079-7 规定（符合 EN 60529）的 IP54 防护等级。 警告电缆 如果电缆或导线入口的温度超过 70 °C，或者导线分支点超过 80 °C，必须采取专门的预防措施。如果设备要在环境温度超过 50°C 的情况下工作，则只能使用允许Zui高工作温度至少为 80 °C 的电缆。 警告 瞬态过电压 应采取措施以防止出现高出额定电压 40%以上（或超过 119 V）的瞬态过电压。只有在使用 SELV（安全特低电压）操作设备时才会出现这种情况。