CP 作为 VPN连接的被动用户 设置通过被动用户建立 VPN 连接的权限 如果 CP 通过网关连接另一个 VPN 用户，则需要将建立 VPN连接的权限设置为“Responder”。 以下典型组态中会出现这种情况： VPN 用户（主动）⇔ 网关（动态 IP 地址）⇔Internet ⇔ 网关（固定 IP 地址）⇔ CP（被动） 按如下方法，组态将 CP 作为被动用户建立 VPN 连接的权限： 1.在 STEP 7 中，转到设备和网络视图。 2. 选择 CP。 3. 在本地安全设置中，打开“VPN”参数组。 4. 对于每个将 CP作为被动 VPN 用户的 VPN 连接，将默认设置“Initiator/Responder”更改为设置“Responder”。说明连接中止 如果由于固件更新或“下载到设备”而导致 CPU 停止，则 OpenVPN 连接将中止。仅在启用“自动”选项后才能使用这些功能。 组态，程序块 3.10 安全性 CP 1543-1 78 操作说明, 07/2021,C79000-G8952-C289-08 • 建立连接的 PLC 变量 如果已选择选项“PLC 触发器”，则当 PLC 变量(Bool) 变为值 1 时模块会建立一个连接。操作期间可根据需要通过使用 HMI 面板等方式设置 PLC 变量。 将 PLC变量重置为 0 后，会再次终止连接。 调试期间手动设置时钟 说明 使用 Security/SINEMA RC 时的时钟同步使用安全功能（例如 SINEMA Remote Connect）时，CP 需要当前时间以在伙伴或 SINEMA RC服务器上进行验证。 首次建立连接之前，CP 会从 NTP 服务器接收时间。身份验证 • 设备 ID (Device ID) 输入在SINEMA RC 中为模块生成的设备 ID。 • 设备密码 (Device password) 输入在 SINEMA RC中组态的模块的设备密码。 Zui大字符数： 127 可选设置 在“安全 > VPN >可选设置”参数组中通过参数“连接类型”对连接建立进行组态。 • 更新间隔 可通过此参数设置 CP 在 SINEMA RC服务器上查询组态的间隔。 请注意，如果将 SINEMA RC 服务器的组态设置更改为 0（零），则 CP 将无法再与 SINEMARC 服务器建立连接。 • “连接类型” 该参数的两个选项将在连接建立中具有以下作用： – 自动 模块建立与 SINEMARC服务器的连接。在连接参数由 SINEMA 远程连接服务器更改之前，OpenVPN 连接都会保持。如果连接中断，则 CP会自动重新建立连接。 如果 SINEMA 远程连接服务器更改了连接参数，则 CP 将在上述组态的更新间隔结束后请求获取新的连接数据。– PLC 触发器 该选项用于模块通过 SINEMA RC 服务器进行的偶发通信。 如果要在模块和 PC之间建立临时连接，则可使用该选项。例如，临时连接通过 PLC 变量建立，可用于提供服务。
只有禁用了内部节点，VPN 隧道通信才会工作在某些情况下，在 SOFTNET Security Client 与 CP 之间建立 VPN 隧道通信会失败。 SOFTNETSecurity Client 也尝试建立与低级别内部节点的 VPN 隧道通信。与不存在的节点建立通信将妨碍与 CP 建立所需的通信。要成功建立与 CP 的 VPN 隧道通信，需要禁用内部节点。 只有出现所描述的问题时，才会使用下述节点禁用步骤。 在 SOFTNETSecurity Client 通道概述中禁用节点： 1. 移除“启用主动学习”(Enable active learning)复选框中的复选标记。 低级别节点在初始时从隧道列表中消失。 2. 在隧道列表中，选择所需的 CP 连接。 3.使用鼠标右键，在快捷菜单中选择“启用所有成员”(Enable all members)。 低级别节点暂时再次出现在隧道列表中。 4.在隧道列表中选择低级别节点。 5. 使用鼠标右键，在快捷菜单中选择“删除条目”(Delete entry)。结果：现在已完全禁用低级别节点。成功建立与 CP 的 VPN 隧道通信。 3.10.2.4 SINEMA Remote Connect使用 SINEMA Remote Connect (SINEMA RC) 进行远程维护 应用程序“SINEMA RemoteConnect”(SINEMA RC) 可用于远程维护。 SINEMA RC 使用 OpenVPN 对数据加密。通信中心为SINEMA RC 服务器，通过该服务器可实现用户间的通信及管理通信系统的组态。 准备步骤 在 STEP 7 中开始组态模块的SINEMA RC 连接之前，请执行以下步骤。这是确保 STEP 7 项目一致性的先决条件。 • 组态 SINEMA RemoteConnect Server 根据需要组态 SINEMA RC Server（不在 STEP 7中）。必须在 SINEMA RC服务器中组态通信模块及其通信伙伴。 组态，程序块 3.10 安全性 CP 1543-1 76 操作说明, 07/2021,C79000-G8952-C289-08 • 导出 CA 证书（可选）如果要在建立连接期间使用服务器证书作为通信模块的身份验证方式，请从 SINEMA RC Server 中导出 CA 证书。 然后将CA 证书从 SINEMA RC Server 导入工程师站。或者，也可以使用服务器证书的识别码作为通信模块的身份验证方式。识别码的有效 期限可能短于证书的有效期限。请注意，更换模块时需要重复导入证书。 组态 SINEMA Remote Connect 导入自己的证书 1. 在 CP上，导航到参数组“安全 > 证书管理器 > 伙伴设备的证书”。 2. 双击第一个表格空行以打开证书选择对话框。 3. 选择SINEMA RC Server 的 CA 证书。 然后导航到参数组“安全 > VPN”(Security >VPN)。VPN > 常规 1. 激活 VPN 2. 对于“VPN 连接类型”，如果要通过 SINEMA RemoteConnect 进行通信，则选择“通过 SINEMA 远程连接服务器进行的自动 OpenVPN 组态”选项。 SINEMA远程连接服务器 输入该服务器的地址和端口号。 服务器验证 在此可以选择建立连接期间的通信模块身份验证方式。 • CA 证书 在“CA证书”下，从之前导入并在本地证书管理器中进行分配的 SINEMA RC Server 中选择 CA 证书。 模块通常会检查服务器的CA 证书及其有效期。这两个选项无法更改。 • 识别码 选择这种身份验证方式时，应输入 SINEMA RC Server服务器证书的识别码。检查到达帧和离去帧时的防火墙顺序 每个到达帧或离去帧都会经过 MAC 防火墙（第 2 层）。如果帧在此层级被丢弃，则 IP 防火墙（第 3 层）不会对其进行检查。 这表示，通过合适的 MAC 防火墙规则，可以限制或阻止 IP通信。 参见 已编程的连接：防火墙规则的限制 (页 47) CPU 的虚拟接口 (页 43) 3.10.3.2 源 IP地址的表示法（gaoji防火墙模式） 如果在 CP 的gaoji防火墙设置中指定源 IP 地址的地址范围，请确保表示法正确无误： •仅使用连字符来分隔两个 IP 地址。 正确：192.168.10.0-192.168.10.255 • 不要在两个 IP地址之间输入任何其它符号。 错误：192.168.10.0 - 192.168.10.255如果错误地输入范围，则不会使用防火墙规则。 3.10.3.3 HTTP 和 HTTPS 不可使用 IPv6 在工作站的 Web服务器上无法通过 IPv6 协议使用 HTTP 和 HTTPS 通信。 如果在本地安全设置的“防火墙 > 预定义的 IPv6规则”(Firewall > Predefined IPv6 rules) 条目中启用防火墙： 所选复选框“允许HTTP”(Allow HTTP) 和“允许 HTTPS”(Allow HTTPS) 没有作用。连接的 VPN 隧道防火墙设置gaoji防火墙模式中的 IP 规则 如果已组态 CP 间的连接，则在gaoji防火墙模式下操作 CP 时，请注意以下设置。 在“安全> 防火墙 > IP 规则”(Security > Firewall > IP rules)参数组中，选择“Accept”设置进行两个 CP 的隧道连接。 组态，程序块 3.10 安全性 CP 1543-1 80 操作说明,07/2021, C79000-G8952-C289-08 如果不启用该选项，则将终止并重新建立 VPN 隧道连接。 这适用于 CP154x-1 与 CP 343-1 Advanced、CP 443-1 Advanced、CP 1628 或 CP 1243-1等之间的连接。 参见 防火墙激活情况下的在线安全诊断和下载到站设置 (页 80)防火墙激活情况下的在线安全诊断和下载到站设置针对在线功能设置防火墙 若已启用安全功能，请按照下面列出的步骤进行操作。 全局安全功能： 1. 选择条目“防火墙 > 服务> 为 IP 规则定义服务”(Firewall > Services > Define services forIP rules)。 2. 选择“ICMP”选项卡。 3. 插入一个类型为“Echo Reply”和一个类型为“EchoRequest”的新条目。 CP 的本地安全功能： 现在选择 S7 站中的 CP。 1. 在 CP 的本地安全设置中，在“安全> 防火墙”(Security > Firewall) 参数组中启用gaoji防火墙模式。 2. 打开“IP 规则”(IPrules) 参数组。 3. 在表中，按如下方式为之前已创建的全局服务插入新的 IP 规则： –操作：Accept；从：外部；至：站；服务 > ICMPv4/6 服务 > Echo Request（此前全局创建的服务）– 操作：Accept；从：站；至：外部；服务 > ICMPv4/6 服务 > Echo Reply（以前全局创建的服务）4. 对于“Echo Request”服务的 IP 规则，在“源 IP 地址”(Source IP address) 下输入工程师站的IP 地址。