创建全局防火墙规则集如何访问该功能 1. 在全局安全功能中，选择条目“防火墙 > 全局防火墙规则集 > IP 规则集或 MAC规则集”(Firewall > Global firewall rules sets > IP rule sets orMAC rule sets)。 结果：所选条目下将显示之前创建的 IP 规则集或 MAC 规则集。 2. 双击条目“添加新的 IP规则集”(Add new IP rule set) 或“添加新的 MAC 规则集”(Add new MAC rule set)。结果：在条目“IP 规则集”(IP rule sets) 和“MAC 规则集”(MAC rule sets) 下，会显示创建的防火墙规则集和自动分配的编号。 3. 双击创建的防火墙规则集。 结果：在工作区会显示用于分配防火墙规则集的对话框。在“规则集”(Ruleset) 下拉列表中 将选中所选的防火墙规则集。可为其分配所需的安全模块，具体请参见分配全局防火墙规则集(页 480)部分。在本地安全设置中，会显示防火墙规则集可组态的属性。 4. 在本地安全设置的“常规”(General)条目中，输入以下数据： – 名称：项目范围内规则集的唯一名称。分配规则集后，名称显示在安全模块的本地规 则列表中。 –“说明”(Description)（可选）：输入全局规则集的描述信息。 5. 在本地安全设置的“防火墙规则集”(Firewallrule set) 条目中，将防火墙规则输入到列表中。 请注意以下部分中的参数说明： 对于 IP 规则集：定义 IP 数据包过滤规则(页 504) 对于 MAC 规则集：定义 MAC 数据包过滤规则 (页 510)要切换到另一防火墙规则集的本地安全设置，请从分配对话框的“规则集”(Rule set) 下拉列表中选择，也可以双击全局安全功能中的相应条目。 结果 已创建全局防火墙规则集，现在可将其分配给需要的安全模块。
创建 IP 规则集含义防火墙规则集：参数 参数 含义/注释 可用选项/值范围 Action 允许/禁止（启用/阻止） • Accept允许符合定义的帧。 • Drop 阻止符合定义的帧。 • Reject 帧被拒绝，并且发送方收到相应消息。对于因组态连接而自动生成且随后手动进行调整的防火墙规则： • Accept* • Drop*如果更改自动创建的连接规则，选择“*”选项后，STEP 7 将不会重 新创建并覆盖这些规则。 From / To 选择规则适用的通信方向。 在单独的部分中介绍。 • 对于 SCALANCE S 模块：IP 数据包过滤方向 SCALANCE S (页619) • 对于S7-300-/S7-400-/PC CP：S7-300-/S7-400-/PC-CP IP 数据包 过滤方向(页 653) • 对于 S7-1200-/S7-1500 CP：S7-1200/S7-1500 CP 的 IP 数据包过滤方向 (页 668) 通信方向“站”包含 CP 的访问以及通过 CP 对 CPU 的访问。通信方向“任意”包含加载时安全模块支持的所有防火墙方向。 默认情况下，通信方向“站”、“背板总线”（jinxian CP 1543-1V2.1 及更高版本，并且带有选项“IP routing between communicationsmodules”和“隧道”归类为受信任通信。对于受信方向之间的通信， 无需组态防火墙规则。 如果需要通过VLAN（区域）的其它方向，请在防火墙区域的编辑器 中为 SCALANCE S615、SC600、M800 设备进行创建，请参见“分配防火墙区域 (页 470)”。
IPv6如果选中该复选框，则 可使用防火墙规则中之 前定义的 ICMPv6 服务。 对于一些安全 CP，选中 该复选框后，可以在“Source IP address”和 “Destination IP address” 文本框中输入附加 IPv6 地址。仅当“Source IP address”和“Destination IP address”文本框中不存在任何条目时，才可选中或取消选中该复选框。 如果在支持 IPv6 的 CP 的本地设置中已禁用 IPv6，则不能选中 CP 本地安全设置中的“IPv6”复选框，因此不能使用防火墙规则中的 ICMPv6 服务或 IPv6 地址。如果已禁用 IPv6，则使用IPv6 的现有防火墙规则 呈灰显状态。 Source IP Address 如果发送方在此处指定 帧的 IP 地址，则防火墙规则适用于这些帧。如 果不指定 IP 地址，则防 火墙规则适用于“From” 列中选择的通信方向上 的所有节点。 有关 IP地址的其它信息，请参见“IP 数据包过滤器规则中的 IP 地址 (页 513)”部分。 幻象模式下的组态选项（仅适用于SCALANCE S S602 V3.1 及更高 版本）： 如果已激活幻象模式，则内部节点的 IP 地址将由安全模块在运行时动态决定。根据所选方向，可以在“Source IP address”列（“从内到 外”方向）或“Destination IPaddress”列（“从外到内”方向）中选 择下列选项之一。 • 内部节点的 IP 地址：由 SCALANCE S 将内部节点的 IP地址插入到 防火墙规则中。 • 限制广播：而是由 SCALANCE S 将广播 IP 地址 255.255.255.255插入到防火墙规则中。 • 定向广播：由 SCALANCE S 将 SCALANCE S 网络的广播 IP 地址插入到防火墙规则中。也可以通过路由器将定向广播转发到目标网 络中。 • 组播：由 SCALANCE S 将组播地址段 224.0.0.0/24 添加到防火墙 规则中。选择该选项后，还可以指定来自组播地址段的特定组播 IP 地址。 Destination IPaddress 如果接收方在此指定帧 的 IP 地址，则防火墙规 则适用于这些帧。如果 不指定 IP 地址，则防火墙规则适用于“To”列中选 择的通信方向上的所有 节点。 Service 可供使用的 IP/ICMP 服务 或服务组的选项。注意：使用预定义服务 前，请确保其预定义参 数符合您的要求。特别 注意预定义源和目标端 口。选中后，将打开一个窗口，其中显示所有预定义的和组态的 IP 服务、 ICMP 服务和服务组。这些服务和服务组在全局安全功能下的“Firewall > Services > Define services for IPrules”中进行管理。Transmission speed (Mbps) 传输速度限制 只有选择了“Accept”操作 时才可设置。如果符合 Accept 规则且 未超出该规则允许的传 输速度，则数据包可通 过防火墙。 CP 343-1 Adv. / CP443-1 Adv.、S7-1200-/S7-1500-CPs、CP 1628： 0.001 ... 100Mbps SCALANCE S：0.001 ... 1000 Mbps对于全局和用户特定的规则：0.001 ... 1000 Mbps 对于具有方向“背板总线”的 IP规则：0.001 ... 1 Mbps 注意：如果在防火墙规则中为 S7-1200/S7-1500 CP组态了方向 “From tunnel to station”，则无法指定任何传输速度限制。 对于 CP 1543-1V2.1，如果为两个方向之一组态了“任意”，则只 能指定一个传输速度限制。这不适用于方向“任意”和“站”的组 合。 Logging启用和禁用对该规则的 记录。如果启用了记录 功能，则将应用在本地 安全设置中组态的数据 包过滤记录功能设置。 • 启用 •禁用（默认） Number 为规则自动分配的编 号。移动规则时将重新 计算编号。Stateful 如果通过“Accept”操作取消选中 IP 规则的这一复 选框，则 Accept 规则适 用的所有数据包均不会 生成防火墙状态。防火 墙状态会自动让所允许数据包的响应通过。 只有选择了“Accept”操作 时才可进行调整。仅 SCALANCE S 模块（V3 及更高固件版本）支持无防火墙状态 IP 规则组 态。如果还要允许按照 该 IP 规则通过防火墙的 数据包的响应通过，则 需要针对上述响应组态 附加的 IP规则。 对于 SCALANCE S V3 及更高版本的 Accept 规则： • 启用（默认） • 禁用 对于 SCALANCE SV3 之前版本和 CP 的 Accept 规则： • 启用（默认） 注意：CP 不显示此复选框；但始终会隐式使用激活的选项以允许 CP的 Accept 规则。 对于 Drop 规则： • 禁用（默认） Comment 用于解释规则的空间若注释标记为“AUTO”，则该注释是为自动连接规则创建的注释。对 于已创建的规则，可选择输入注释。快捷菜单中各条目的含义快捷菜单中的条目 含义 Insert rule above 使用此命令可将规则插入到所选规则集上方。 Insert rulebelow 使用此命令可将规则插入到所选规则集下方。 Delete 删除所选规则集。 有关删除全局定义和本地分配的规则集的注意事项：如果在此删除一个规则集，将只取消对安全模块的分配。 Move up 使用此按钮可在列表中将所选规则集向上移动一个位置。或者，通过鼠标拖动的方式移动所选规则集。您可以选择多个条目。 因此，会以更高的优先级处理所移动的规则集。 Move down使用此按钮可在列表中将所选规则集向下移动一个位置。或者，通过鼠 标拖动的方式移动所选规则集。您可以选择多个条目。因此，会以更低的优先级处理所移动的规则集。 Define service for IP rules 打开一个对话框，可在其中管理 IP服务和服务组。