TLS 用于遥控连接TLS 用于项目内部遥控连接 可通过 TLS 为使用以下协议之一的通信模块的遥控连接组态安全通信： •IEC 60870-5 • DNP3 为遥控连接（“TeleControl”任务卡）组态安全通信。 1. 创建遥控连接。2. 在其中选择主连接和“安全通信 (TLS)”(Secure Communication (TLS)) 参数组。 3.激活“启用安全通信”(Enable secure communication) 选项。 当所有连接伙伴证书均显示出来后，“自有证书ID”和“伙伴证书 ID”会自动应用到西门子设 备的整个连接，包括子连接。 TLS 用于第三方设备的遥控连接如果想要为第三方设备的遥控连接使用通过 TLS 的安全通信，需额外执行一些步骤。 设置 TLS的安全侦听器端口或检查设置（基本设置 > 安全侦听器端口 (Basic settings > Securelistener port)）。连接伙伴需要使用端口号。 必须为第三方设备创建或导入一个证书、将 ID应用于连接参数、导出证书和关联的 CA 证书， 将其导入第三方设备。 先按上文所述创建连接，激活“启用安全通信”(Enablesecure communication) 选项。 请按以下步骤操作。导入第三方证书或创建和分配此证书 还可以将第三方证书提供给STEP 7 项目： • 导入 必要时，可以在工程师站的文件系统中保存并导入第三方设备的证书。要导入，请在全局证书管理器中打开“受信任的证书和根证书颁发机构”(Trusted certificates and rootcertification authorities) 选项卡，单击空白行并打开“导入”(Import) 快捷菜单。必须将导入的证书分配给通信模块（见下文）。 在连接属性中输入已导入证书和自有证书的 ID。 检查连接属性中的安全侦听器端口。检查连接属性中的“网络节点类型”(Network node type)（“第三方设备参数”(Third-party deviceparameters) 参数组中）。如果第三方设备是主站，则选择“主站”(Master station)。 • Create或者，可以在 STEP 7 中为第三方设备创建证书并将其导入第三方设备。 请按下列步骤操作： 1.在项目导航中打开全局证书管理器： “安全设置 > 安全功能 > 证书管理器 > 设备证书”(Securitysettings > Security features > Certificate manager >Device certificates) 2. 在空白行中单击“创建”(Create) 快捷菜单。 将打开“创建证书”(Createcertificate) 对话框。 3. 为第三方设备的证书选择以下选项： – 用途 (Usage)：TLS Client /Server – 认证机构 (CA) (Certificate authority (CA))自签名 (Self signed) –主题的公用名 (Common name of subject)：输入第三方设备的名称。 使其它参数适应第三方设备的功能。 推荐设置：– 加密方法 (Encryption method)： RSA – 密钥长度 (Key length)： 2048 – 散列算法(Hash algorithm)： sha256 4. 单击“确定”(OK) 关闭对话框。 证书即显示在表中。 之后需要提供证书 ID才能实现分配和遥控连接。 5. 选择新创建的证书，打开“分配”(Assign) 快捷菜单。 6.在列表中选择第三方设备将通过遥控连接与其进行通信的模块。 7. 在（“未分配”(Notassigned)）单元格的“使用方式”(Used as) 行中，选择“受信任的证 书”(Trusted certificate)选项并单击绿色复选标记。 8. 单击“确定”(OK) 关闭对话框。 之后需要提供证书 ID 才能实现遥控连接。
如何访问该功能1. 右键单击证书的列表条目。 2. 在快捷菜单中，选择“替换”(Replace) 条目。 3. 将打开“替换证书”(Replacecertificate) 对话框。 将衍生“涉及的证书”(Certificates involved)表中所列的全部证书。这意味着可使用不同 项目的 CA 组证书替换项目中已组态的 VPN 组的 CA 组证书。在两个项目中，VPN组成 员的 VPN 设备证书源自同一个 CA 组证书。 证书管理器中发生变更后，将相应组态下载至所有受影响的安全模块。 遥控：处理TLS 的证书 通过遥控模块进行安全通信 以下模块支持下述通过 TLS 进行的通信： • TIM 1531 IRCV2.3 V2.3 及以上固件版本 • CPU 1500 V2.9 及以上固件版本 •CP 1542SP-1 IRC V2.2 及以上固件版本 • ET 200SP CPU V2.9 及以上固件版本通信模块使用 TLS 1.2；通信符合 IEC 62351-3。 CPU 与遥控模块之间的通信 CP：通过背板总线进行通信如果 CPU 和遥控 CP 位于同一机架中，则它们之间的通信通过背板总线进行。CPU 会自动分 配给遥控CP。TIM 1531 IRC：通过以太网与 CPU 进行 TLS 通信 TIM 1531 IRC 未插入 CPU的机架中。与 CPU 的连接是通过以太网建立的，并支持通过 TLS 针 对所有可用的遥控协议实现安全通信。 对于通过 TLS进行的通信，需要使用新创建的 CPU 证书并将其指定给“用户数”(Subscriber numbers) 参数组中的 TIM。为CPU 创建证书并将 TIM 分配给 CPU 时，会自动输入证书。 创建 CPU 证书并指定 CPU 要求要创建和分配证书，必须满足以下要求： • 作为 STEP 7项目用户，至少拥有“NET Administrator”角色的权限。 更多相关信息，请参见“安全设置 > 用户和角色> 已分配角色”(Security settings > Users and roles > Assignedroles)。 • 设备具有所需的Zui低固件版本，请参见上文。 • CPU 的组态数据受到保护。 更多相关信息，请参见“保护与安全> 机密 PLC 组态数据保护”(Protection & Security > Protection ofconfidential PLC configuration data) 要将本地 CPU 指定给TIM 1531 IRC，必须满足以下要求： • CPU 与 TIM 1531 IRC已连接网络。 • 在“通信类型”(Communication types) 下为 TIM 启用了所需的遥控协议。 SIMATICNET 设备的证书 SIMATIC NET 通信模块通常使用全局证书管理器。相关信息，请参见项目导航中“安全设置 >安全功能”(Security settings > Security features)。 创建 CPU 证书 需要为CPU 创建一个由系统生成的证书（STEP 7 项目的全局证书管理器）。CPU 本 地创建的证书不能用于通信。 将 CPU分配给 TIM（见下文）后，新创建 CPU 证书的 ID 会自动输入到以下位置： • TIM 的“用户编号”(Subscribernumbers) 对话框中 • 在 TIM 的证书管理器中作为合作伙伴证书
请按以下步骤创建 CPU 证书：1. 为 CPU 选择参数组“保护与安全 > 证书管理器 > 全局安全设置”(Protection & Security> Certificate manager > Global security settings)。 2.启用“使用证书管理器的全局安全设置”(Use global security settings for the certificatemanager) 选项。 注意： 启用该选项后，将删除 CPU 的现有证书。 3. 转至“保护与安全 > 连接机制 > 与TIA Portal 和 HMI 通信”(Protection & Security > Connectionmechanisms > Communication to TIA Portal and HMI) 4. 在“PLC通信证书”(PLC communication certificate) 行中，右键单击相应图标以打开下拉列表。 5.在打开的下拉列表中单击“创建”(Create) 按钮。 将打开“创建证书”(Create certificate)对话框。必须选择或推荐使用以下选项： – 用途 (Usage)：TLS Client / Server – 认证机构 (CA)(Certificate authority (CA))由认证机构签发 (Signed by certificationauthority) – 主题的公用名 (Common name of subject)：所选 CPU 的名称 – 加密方法(Encryption method): EC（推荐） – 散列算法 (Hash algorithm)： sha256（推荐）必要时，可以在“主题备用名称 (SAN)”(Subject Alternative Name (SAN)) 下为 CPU 添加其它地址类型。 6. 保留设置并单击“确定”(OK)。 新创建的 TLS 证书显示在设备的设备证书表中。 7.在项目导航中打开全局证书管理器： “安全设置 > 安全功能 > 证书管理器 > 设备证书”(Securitysettings > Security features > Certificate manager >Device certificates) 8. 选择新创建的 CPU 证书（ID 见上文），打开“分配”(Assign)快捷菜单。 9. 在列表中，选择应分配 CPU 的 TIM。 10.在（“未分配”(Notassigned)）单元格的“使用方式”(Used as) 行中，选择“受信任的证 书”(Trusted certificate)选项并单击绿色复选标记。 11.单击“确定”(OK) 关闭对话框。 将 CPU 分配给 TIM 1531 IRC1. 对于要与 CPU 通信的 TIM，打开“用户数”(Subscriber numbers) 参数组。 2. 在“已分配的CPU”(Assigned CPU) 行中，右键单击相应图标以打开下拉列表。 将打开已连接网络的 CPU 的列表。 3. 选择要分配给TIM 的 CPU，单击其下方的绿色复选标记。 CPU 的名称即显示在“已分配 CPU”(Assigned CPU) 行中。之前为 CPU 创建的证书 ID 会自动显示在“通信证书”(Communication certificate)行中。 更多组态将其它站组态为通信伙伴和相应的遥控连接。