安全模块的防火墙功能旨在用于保护网络和工作站免受第三方的影响与干扰。它意味着只允许先前指定的通信关系。防火墙将丢弃无效帧，不发送任何响应。 可使用 IP 地址、IP 子网、服务或 MAC地址来过滤数据流。还可以设置传输速度限制。 可组态以下协议级别的防火墙功能： • 具有状态数据包检查功能的 IP 防火墙（第 3层和第 4 层） • 根据 IEEE 802.3，也适用于以太网“非 IP”帧（第 2 层）的防火墙 使用支持 VPN的安全模块，防火墙也可用于加密的数据通信（IPsec 隧道）。使用 SCALANCE S602安全模块时，防火墙将只用于处理未加密的数据流。 防火墙规则 防火墙规则描述要允许或禁止哪个方向的哪些数据包。IP 规则将影响第 3层或更高层的所有 IP 数据包。MAC 规则仅影响第 3 层以下的帧。 防火墙规则的类型 •全局防火墙规则集：全局防火墙规则集可分配给多个安全模块。在全局安全功能中 组态全局防火墙规则集。 •本地防火墙规则：在安全模块的本地安全设置中组态本地防火墙规则。 • 用户特定的 IP 规则集（仅适用于 SCALANCES）：用户特定的 IP 规则集可分配给单个安 全模块或分配给多个安全模块。在全局安全设置功能中组态用户特定的 IP 规则集并将其分配给一个或多个用户。 SCALANCE S (RADIUS)：用户特定的 IP 规则集可分配给单个或多个用户，也可分配给单个或多个角色。 服务定义 在服务定义的帮助下，您也可以紧凑的形式清楚地定义防火墙规则。服务定义在全局安全功能中进行组态，并且可用于全局、本地以及用户特定的防火墙规则。
如果已经将 VPN 设备组态为“VPN服务器” (VPN server)： 1. 在“VPN 服务器地址 (WAN IP 地址)”(VPN server address(WAN IP address)) 框中，输入 WAN IP 地址，VPN 连接的发起端可以通过该地址访问 VPN 服务器。 2.在“导出的证书和密钥”(Exported certificates and keys) 条目中指定相应的文件类型。 3.在“可通过隧道访问的子网”(Subnets reachable through tunnel) 条目中，输入将要启用隧道通信的子网和/或 IP 地址。 如果已经将 VPN 设备组态为“Android（自版本 V2.1 起）的 NCP VPN客户端”(CP VPN client for Android (as of version V2.1))： 1. 在“AndroidNCP VPN 客户端设置”(NCP VPN client for Android settings) 中，输入 NCP VPN 客户端上的存储路径。 说明 释放在 NCP 安全 VPN 客户端和 SCALANCE S 之间存在 VPN 连接的子网和用户默认情况下，释放 SCALANCE S 模块的本地内部子网进行隧道通信。在为 NCP VPN客户端生成的文件中，该子网始终作为第一个释放的子网输入。NCP VPN 客户端Zui多支 持释放子网/用户的 5个条目，默认情况下，将释放 SCALANCE S 模块的本地内部 网络和 NCP VPN 客户端中“节点”(Nodes)条目的前 4 个表格条目。要释放其它子网和用 户以进行隧道通信，必须对 STEP 7 生成的文件进行适当调整。 如果已经将 VPN设备组态为“SOFTNET 安全客户端 V5”(SOFTNET Security Client V5)： • 无需其他设置。如果已经将 VPN 设备组态为“SINEMA RC 客户端”(SINEMA RC client)： 1.选择文件，通过“搜索”(Search) 按钮启动“SINEMA RC 客户端”(SINEMA RC client)。 2. 使用“启动SINEMARC 客户端”(Start SINEMA RC client) 按钮，打开“SINEMA RC 客户 端”(SINEMARC client)。 不会为 SINEMA RC 客户端创建 VPN 组态文件。 安全设备作为 Internet 网关要将安全设备用作 Internet 网关，请执行以下操作： 1. 选择要编辑的安全设备。 2.在本地安全设置中选择“设置”(Settings) 条目。 3. 从下拉列表中选择“Internet 网关”(Internetgateway) 模式。 4. 在本地安全设置中选择“Internet 网关”(Internet gateway) 条目。 5. 输入WAN IP 地址或 FQDN。 6. 通过“已分配模块”(Assigned modules) 条目，可将位于 VPN组的模块分配至“Internet 网 关”(Internet gateway)。调整 IP 服务的标准规则 对于 SCALANCE S模块，可调整为安全模块接口默认设置的面向特定服务的防火墙规则。有 关组态这些防火墙规则的信息，请参见 调整 IP 服务的标准规则(页 621) 部分。 自动生成的 CP 连接防火墙规则 对于使用 CP 组态的连接，STEP 7会自动创建防火墙规则，允许在指定方向（CP 主动/被动） 上与 CP的伙伴进行通信。会考虑连接建立方向。要在启用了gaoji防火墙模式时显示这 些防火墙规则，需要单击“更新连接规则”(Updateconnection rules) 按钮。随后，会在gaoji 防火墙模式下显示防火墙规则。以下章节将对自动生成的防火墙规则进行介绍。 • 对于 S7-300 CP/S7-400 CP/PCCP，请参见：“S7-300/S7-400/PC CP 的安全性”部分中 的连接相关的自动防火墙规则 (页 656)。 •对于 S7-1200-/S7-1500-CP：“S7-1200/S7-1500 CP 的安全性”部分中的连接相关的自动 防火墙规则(页 670)。 启用防火墙 在本地安全设置中，可使用“Enablefirewall”复选框控制特定安全模块的防火墙功能。如果启 用此复选框，则可对防火墙进行组态，下载后防火墙立即生效。对于作为 VPN组成员的安 全模块，“启用防火墙”(Enable firewall) 复选框在默认情况下处于激活状态，无法禁用。切换为gaoji防火墙模式后，无法切换回标准模式。有关标准防火墙模式和gaoji防火墙模式的详 细信息，请参见如下部分：本地防火墙规则概述 (页 502)。SCALANCE SC600 或 SCALANCE M800等模块系列具有“Device”或“usb0”区域，此类区域未在全局防火墙规则中表示。要使这类区域可用作全局编辑器中防火墙规则集的“From”和“To”的附加防火墙方向，请先在区域编辑器中进行分配。 概述 右侧的表格显示在本地设备设置的“Security > Firewall> IP Rules”下创建的所有可用防火墙区 域。 • Name 取自本地防火墙设置，无法更改。 • Defined by –System：区域由系统自动创建。 在左侧表中，将显示已分配给全局防火墙规则集的防火墙区域。 • Name取自本地防火墙设置，无法更改。 默认添加的区域包括： – INT（内部） – External（外部） – DMZ (DMZ) –隧道 (IPsec) Defined by – System：区域由系统自动创建。 • Used in rule显示该区域是否已在防火墙规则中使用。如果使用，则无法删除规则。默认创建的区域状态为“Always”。它们未在全局防火墙规则中使用，也无法删除，因 为其映射通过已知的防火墙方向内部/外部/DMZ和隧道进行表示。操作步骤 1. 在全局安全功能中，选择条目“Firewall" > "Select firewallzones”。 2. 在“Available zones”区域中，选择要分配到左侧的区域。 3.单击“<<”将所选区域分配给选定的防火墙区域。 结果防火墙区域可用作全局防火墙规则，可被选作方向“From”和“To”并分配给设备。对于因不受支持的区域而导致不受设备支持的防火墙规则，将被过滤并显示注释。 可导出和导入包含区域的防火墙规则集。 全局防火墙规则集 应用全局防火墙规则集是独立于模块在全局安全功能中进行组态的。防火墙规则集由一个或多个 防火墙规则组成，可将其分配给各个安全模块。全局防火墙规则集中，应区分以下两种规则集： • IP 规则集 • MAC 规则集下列示意图说明了全局定义的规则集与本地使用的规则集之间的关系。组态全局防火墙规则时，可进行详细的防火墙设置。可针对单个的节点允许具体的服务或全部服务，以访问工作站或网络。 何时使用全局 IP 和 MAC 防火墙规则？若要为与若干安全模块的通信定义相同的过滤标准时，全局防火墙规则十分有用。 说明 分配具有不兼容防火墙规则的防火墙规则集对于安全模块，如果其支持防火墙规则集，则只有来自防火墙规则集的防火墙规则才会被正确采用。包含在全局防火墙规则集中的带有方向“自：外部”(From: external) 或“至：任 意”(To: any)的防火墙规则不会分配给 CP 1628。如果 CP 1628 支持全局防火墙规则集的其 它防火墙规则，则可采用其它防火墙规则。全局防火墙规则集 - 约定 在本地使用全局防火墙规则集 创建全局防火墙规则集以及将其分配给模块时，以下惯例适用： • 组态视图在全局安全功能中组态全局防火墙规则集。 • 优先级 默认情况下，本地定义规则的优先级高于全局 IP 及 MAC防火墙规则集。Zui初会 将新分配的全局 IP 和 MAC 防火墙规则集输入至本地规则列表的底部。可以通过更改规则列表中的位置来更改优先级。 • 输入、更改或删除规则集不能在模块属性中的防火墙规则本地规则列表中编辑全局防火墙规则集。在此处只是对 其进行显示，并根据要求的优先级确定位置。在本地安全设置中，不能从分配的规则集中删除单个规则。只能从本地规则列表中删除整个规则集。全局安全功能中的防火墙规则集将不受此影响。