使用预定义的防火墙规则在此，可使用简单的预定义规则。仅可启用服务特定的规则。所有节点在指定的方向上支持所启用的服务。可以在以下模块特定部分的此对话框中找到防火墙定义的详细信息： • 对于 SCALANCE S：SCALANCE S模块的本地防火墙规则 (页 612) • 对于 S7-300/S7-400/PC CP：S7-300/S7-400/PCCP 的本地防火墙规则 (页 648) • 对于 S7-1200/S7-1500 CP：S7-1200/S7-1500 CP的本地防火墙规则 (页 660) 对于可以为 CP 组态的通信方向“站”，其包含 CP 的访问以及通过 CP 对 CPU的访问。 在gaoji防火墙模式中定义防火墙规则在gaoji防火墙模式下，可对防火墙进行详细设置。可针对单个的节点允许具体的服务或全部服务，以访问工作站或网络。通过“激活防火墙gaoji模式”(Activate firewall in advanced mode)复选框，启用gaoji防火墙模式。在gaoji防火墙模式下使用“防火墙 > IP 规则”(Firewall > IPrules) 中的相应按钮打开用于组态 IP 规则和 MAC 规则的编辑器。有关编辑器中提供的 组态选项，请参见以下部分： 对于 IP数据滤规则：定义 IP 数据滤规则 (页 504) 对于 MAC 数据滤规则：定义 MAC 数据滤规则(页 510) 说明 无法禁用gaoji防火墙模式 激活gaoji防火墙模式之后，无法再禁用此模式。在gaoji防火墙模式下采用预定义的防火墙规则当切换到gaoji防火墙模式时，将采用启用的预定义防火墙规则和记录设置。例如，如果沿“从 外部到内部”(From Externalto Internal) 方向为 SCALANCE S 模块选中了“允许 S7 协 议”(Allow S7 protocol)复选框，则在gaoji防火墙模式下，会自动创建此通信方向、带“S7”服 务的 Accept 规则。 如果存在S7-1200/S7-1500 CP 预定义的记录设置，则在gaoji模式下，这些记录设置将不会 显示为防火墙规则，而是显示在“防火墙> 记录设置”(Firewall > Log settings) 条目下，可在此对其进行编辑。定义 IP数据滤规则 含义 利用 IP 数据滤规则，可根据 IP 帧（如 TCP、UDP 和 ICMP）进行过滤。在数据滤规则中，还可以回退到 IP 服务的定义。 分配的全局防火墙规则和为 NAT/NAPT自动生成的防火墙规则会显示为规则集的形式。 菜单栏的操作员控制 菜单栏的操作员控制具有以下功能： 操作员控制元素 功能 启用防火墙启用 IP 规则编辑器。如果编辑器已启用，相应的规则可进行组态，并 会在加载过程中传送到模块。 上插规则将规则插入到所选规则/所选规则集上方。要上插规则集，则必须选中 其第一行。 下插规则将规则插入到所选规则/所选规则集下方。要下插规则集，则必须选中 其第一行。 上移将所选规则/所选规则集上移一行。要移动规则集，则必须选中其第一 行。操作员控制元素 功能 下移将所选规则/所选规则集下移一行。要移动规则集，则必须选中其第一 行。 展开规则集 展开显示现有规则集。 折叠规则集折叠显示现有规则集。 分离 将所选行转换为单独的一条或多条规则。如果选择的是规则集的第一行，则规则集的所有规则都会转换为单独的规则。如果选择的是规则 集中包含的一个规则，则该规则会转换为一条单独的规则。规则集的以下规则也会转换为一个单独的规则集。 gaoji IP 规则编辑器 选择 IP 规则后，在巡视窗口的“常规 > IP规则”(General > IP rules) 中会显示gaoji IP 规则编 辑器，用于 IP规则的简单组态。在该编辑器中进行的更改会应用到所选 IP 规则中。 在gaoji IP 规则编辑器中定义 IP 规则可以组态以下参数： 表格 IP 规则编辑器中的参数 参数 含义/注释 可用选项/值范围 常规 编号 (Number)为规则自动分配的编 号。移动规则时将重新 计算编号。 注释 (Comment) 用于解释规则的空间若注释标记为“AUTO”，则该注释是为自动连接规则创建的注释。对 于已创建的规则，可选择输入注释。
操作 (Action)允许/禁止（启用/阻止） • Accept 允许符合定义的帧。 • Drop 阻止符合定义的帧。 • Reject帧被拒绝，并且发送方收到相应消息。 对于因组态连接而自动生成且随后手动进行调整的防火墙规则： • Accept* • Drop*如果更改自动创建的连接规则，选择“*”选项后，STEP 7 将不会重 新创建并覆盖这些规则。 自/至 (From/To)选择规则适用的通信方 向。 在单独的部分中介绍。 • 对于 SCALANCE S 模块：IP 数据滤方向 SCALANCE S(页 619) • 对于 S7-300/S7-400/PC CP：S7-300-/S7-400-/PC-CP IP 数据滤方向 (页 653) • 对于 S7-1200/S7-1500 CP：S7-1200/S7-1500 CP 的 IP数据 滤方向 (页 668) 通信方向“站”包含 CP 的访问以及通过 CP 对 CPU 的访问。通信方向“任意”包含加载时安全模块支持的所有防火墙方向。 默认情况下，通信方向“站”、“背板总线”（jinxian CP 1543-1V2.1 及更高版本，并且带有选项“通信模块间 IP 路由”(IP routing between communicationsmodules)）和“隧道”归类为受信任通 信。对于受信方向之间的通信，无需组态防火墙规则。源 IP 地址 (Source IPaddress) 如果发送方在此处指定 帧的 IP 地址，则防火墙 规则适用于这些帧。如 果不指定 IP 地址，则防 火墙规则适用于“自”(From) 列中选择的 通信方向上的所有节点。 在编辑器中，可在“起始地址”(From) 和“结束地址”(To) 列的文本框中组态地址范围。如果为一个 IP 规则组态了多个地址范围，每种情 况下的地址数必须匹配。组态地址范围后，STEP 7 会通过所选 IP规则 （包含每个地址的对应 IP 规则）创建一个 IP 规则集。 有关 IP 地址的其它信息，请参见“IP 数据滤器规则中的 IP地址 (页 513)”部分。 幻象模式下的组态选项（仅适用于 SCALANCE S S602 V3.1 及更高 版本）：如果已激活幻象模式，则内部节点的 IP 地址将由安全模块在运行时 动态决定。根据所选方向，可以在“源 IP 地址”(Source IPaddress) 列 （“从内到外”方向）或“目标 IP 地址”(Destination IP address) 列（“从外到内”方向）中选择下列选项之一。 • 内部节点的 IP 地址：由 SCALANCE S 将内部节点的 IP 地址插入到防火墙规则中。 • 限制广播：而是由 SCALANCE S 将广播 IP 地址 255.255.255.255 插入到防火墙规则中。• 定向广播：由 SCALANCE S 将 SCALANCE S 网络的广播 IP 地址插入到防火墙规则中。也可以通过路由器将定向广播转发到目标网 络中。 • 组播：由 SCALANCE S 将组播地址段 224.0.0.0/24 插入到防火墙 规则中。选择该选项后，还可以指定来自组播地址段的特定组播 IP 地址。 目标 IP 地址 (Dest. IPaddress) 如果接收方在此指定帧 的 IP 地址，则防火墙规 则适用于这些帧。如果 不指定 IP 地址，则防火墙规则适用于“至”(To) 列中选择的通信方向上 的所有节点。 其它设置 (Additional settings) 服务 可供使用的IP/ICMP 服务 或服务组的选项。 注意：使用预定义服务 前，请确保其预定义参 数符合您的要求。特别 注意预定义源和目标端 口。选中后，将打开一个窗口，其中显示所有预定义的和组态的 IP 服务、 ICMP 服务和服务组。这些服务和服务组在全局安全功能下的“防火墙 > 服务 > 为 IP 规则定义服务”(Firewall > Services > Defineservices for IP rules) 中进行管理。传输速度 (Mbps) (Transmissio n speed(Mbps)) 传输速度限制 只有选择“Accept”操作时 才能输入。 如果符合 Accept 规则且 未超出该规则允许的传输速度，则数据包可通 过防火墙。 CP 343-1 Adv. / CP 443-1Adv.、S7-1200-/S7-1500-CPs、CP 1628： 0.001 ... 100 MbpsSCALANCE S：0.001 ... 1000 Mbps对于全局和用户特定的规则：0.001 ... 1000 Mbps 对于具有方向“背板总线”的 IP规则：0.001 ... 1 Mbps 注意：如果在防火墙规则中为 S7-1200/S7-1500 CP组态了方向“从 隧道到工作站”(From tunnel to station)，则无法指定任何传输速度限 制。 对于 CP1543-1 V2.1，如果为两个方向之一组态了“任意”，则只 能指定一个传输速度限制。这不适用于方向“任意”和“站”的组 合。 记录(Logging) 启用和禁用对该规则的 记录。如果启用了记录 功能，则将应用在本地 安全设置中组态的数据 滤记录功能设置。 •启用 • 禁用（默认） 编号 (Number) 为规则自动分配的编 号。移动规则时将重新 计算编号。状态 (Stateful)如果通过“Accept”操作取 消选中 IP 规则的这一复 选框，则 Accept 规则适 用的所有数据包均不会 生成防火墙状态。防火墙状态会自动让所允许 数据包的响应通过。 只有选择“Accept”该操 作，才能进行修改。仅 SCALANCE S 模块（V3及更高固件版本）支持 无防火墙状态 IP 规则组 态。如果还要允许按照 该 IP 规则通过防火墙的 数据包的响应通过，则需要针对上述响应组态 附加的 IP 规则。 对于 SCALANCE S V3 及更高版本的 Accept 规则： • 启用（默认） •禁用 对于 SCALANCE S V3 之前版本和 CP 的 Accept 规则： • 启用（默认） 注意：CP不显示此复选框；但始终会隐式使用激活的选项以允许 CP 的 Accept 规则。 对于 Drop 规则： • 禁用（默认）要创建的副本 数 (Number of copies to create) 复制所选 IP 规则。选择复制所选规则的频率，单击“创建副本”(Create copies) 按 钮。