快捷菜单中各条目的含义 快捷菜单中的条目 含义 上插规则使用此选项可将规则插入到所选规则上方。 下插规则 使用此选项可将规则插入到所选规则下方。 删除 (Delete) 删除所选规则。另存为全局规则集 (Save as global rule set) 复制所选防火墙规则，并将其作为全局防火墙规则集插入全局安全功能中。当前为安全模块组态的防火墙组态将不受此步骤的影响。 上移 (Move up)使用此项可在列表中将所选规则向上移动一个位置。或者，通过拖放的 方式移动所选规则。您可以选择多个条目。这意味着将以更高的优先级处理移动的规则。快捷菜单中的条目 含义 下移 (Move down)使用此项可将所选规则向下移动。或者，通过拖放的方式移动所选规则。 您可以选择多个条目。 这将导致以更低的优先级处理移动的规则。 为IP 规则定义服务 (Define service for IP rules) 打开一个对话框，可在其中管理 IP 服务和服务组。定义 MAC 数据滤规则 含义 利用 MAC 数据滤规则，可根据 MAC 帧进行过滤。 在数据滤规则中，还可以回退到MAC 服务的定义。 分配的全局防火墙规则显示为规则集形式。 菜单栏的操作员控制 菜单栏的操作员控制具有以下功能： 操作员控制元素功能 启用防火墙 启用 MAC 规则编辑器。如果编辑器已启用，相应的规则可进行组态， 并会在加载过程中传送到模块。 上插规则将规则插入到所选规则/所选规则集上方。要上插规则集，则必须选中 其第一行。 下插规则将规则插入到所选规则/所选规则集下方。要下插规则集，则必须选中 其第一行。 上移将所选规则/所选规则集上移一行。要移动规则集，则必须选中其第一 行。 下移将所选规则/所选规则集下移一行。要移动规则集，则必须选中其第一 行。操作员控制元素 功能 展开规则集 展开显示现有规则集。 折叠规则集折叠显示现有规则集。 输入 MAC 数据滤规则 启用编辑器后，可通过以下参数组态 MAC 规则： 表格 1-32 MAC规则：参数 参数 含义/注释 可用选项/值范围 操作 允许/禁止（启用/阻止） • Accept 允许符合定义的帧。 • Drop阻止符合定义的帧。 • Reject 帧被拒绝，并且发送方收到相应消息。 对于因组态连接而自动生成且随后手动进行调整的防火墙规 则：• Accept* • Drop* 如果更改自动创建的连接规则，选择“*”选项后，STEP 7 将不会重新创建并覆盖这些规则。 自/至选择规则适用的通信方向。 在单独的部分中介绍。 • 对于 SCALANCE S 模块：MAC 数据滤方向 SCALANCE S(页 620) • 对于 S7-300/S7-400/PC CP：S7-300-/S7-400-/PC-CP MAC数据滤方向 (页 654) • 对于 S7-1200/S7-1500 CP：S7-1200/S7-1500 CP 的MAC 数据滤方向 (页 670) 通信方向“站”包含 CP 的访问以及通过 CP 对 CPU 的访问。默认情况下，将通信方向“站”和“隧道”归类为受信方 向。对于受信方向之间的通信，无需组态防火墙规则。
源 MAC 地址 (Source MACaddress) 如果发送方在此指定帧的 MAC 地 址，则防火墙规则适用于这些 帧。如果不指定 MAC 地址，则防火墙规则适用于“自”(From) 列 中选择的通信方向上的所有节点。 正确格式的 MAC 地址 目标 MAC 地 址如果接收方在此指定帧的 MAC 地 址，则防火墙规则适用于这些 帧。如果不指定 MAC 地址，则防 火墙规则适用于“至”(To)列中选 择的通信方向上的所有节点。 服务 可供使用的 MAC 服务或服务组的 选项。 注意：使用预定义服务前，请确保其预定义参数符合您的要求。 下拉列表框显示可供选择的预定义和组态的服务和服务组。 这些参数显示在全局安全功能下的“防火墙 >服务 > 为 MAC 规则定义服务”(Firewall > Services > Define servicesfor MAC rules) 中。 传输速度 (Mbps) (Transmissio n speed (Mbps)) 传输速度限制只有选择“Accept”操作时才能输 入。 如果符合 Accept 规则且未超出该 规则允许的传输速度，则数据包 可通过防火墙。CP 343-1 注意：如果在防火墙规则中为 S7-1200/S7-1500 CP 组态了 方向“从隧道到工作站”(Fromtunnel to station)，则无法指 定任何传输速度限制。 记录 启用和禁用对该规则的记录。如 果启用了记录功能，则将应用在本地安全设置中组态的数据 滤记录功能设置。 • 启用 • 禁用（默认） 编号 为规则自动分配的编号。移动规 则时将重新计算编号。注释 用于解释规则的空间 若注释标记为“AUTO”，则该注释是为自动连接规则创建的注 释。对于已创建的规则，可选择输入注释。
菜单命令的含义 按钮 含义 删除删除所选择的规则或所选择的全局规则集。 有关删除全局定义和本地分配的规则集的注意事项：如果在此删除一个规则集，将只取消对安全模块的分配。 另存为全局规则集（仅适用于本地 防火墙规则）复制所选防火墙规则，并将其作为全局防火墙规则集插入全局安全功能 中。当前为安全模块组态的防火墙组态将不受此步骤的影响。 上移使用此按钮，可将列表中所选择的规则或全局规则集向上移动一个位置。 或者，通过鼠标拖动的方式移动所选规则/规则集。您可以选择多个条目。会以更高的优先级处理所移动的规则/规则集。 下移 使用此按钮，可将列表中所选择的规则或全局规则集向下移动一个位置。或者，通过鼠标拖动的方式移动所选规则/规则集。您可以选择多个条目。 会以更低的优先级处理所移动的规则/规则集。 为 MAC规则定义服务 打开一个对话框，可在其中管理 MAC 服务和服务组。 IP 数据滤器规则中的 IP 地址 在 IP数据滤规则中输入 IP 地址 在 IP 数据滤规则中，输入 IP 地址的选项有以下几种： • 不指定 该规则适用于所有 IP地址。 • 指定一个 IP 地址 该规则仅适用于特定地址。 • 地址范围 该规则适用于该地址范围涵盖的所有 IP 地址。 在 IP地址中指定有效位数，以此定义地址范围，格式如下：[IP 地址]/[要考虑的位数] – [IP 地址]/24 表示过滤规则仅包括IP 地址中Zui高有效 24 位。即，IP 地址的前三 个八位字节。 – [IP 地址 ]/25 表示过滤器规则中只适用于 IP地址中前三个八位字节和第四个八位字节 的Zui高位。 • 地址区 对于源 IP 地址，可按以下格式输入地址范围： [起始 IP地址]-[结束 IP 地址]发送日志条目的要求 • 已在设备上启用 Syslog 功能。 • 在“系统 > 事件 >组态”(System > Events > Configuration) 中，已针对相关事件激活 “Syslog”。 •接收日志条目的网络中存在 Syslog 服务器。由于这是一个 UDP 连接，不会向发送方 发送确认。 • 在设备上输入了Syslog 服务器的 IP 地址和 FQDN。 操作步骤 1. 在全局安全功能中，选择条目“Syslog 服务器”(Syslogserver)。 结果：所选条目下将显示之前创建的 Syslog 服务器。 2. 双击“添加新 Syslog 服务器”(Add newSyslog server) 条目。 结果：在条目“Syslog”下，会显示创建的 Syslog 服务器和自动分配的编号。 3.双击创建的 Syslog 服务器。 结果：在工作区会显示 Syslog 服务器的分配对话框。在“Syslog 服务器”(Syslogserver) 下拉 列表中，将选中所选的 Syslog 服务器。可为其分配所需的安全模块。在常规安全设置中，会 显示 Syslog服务器的可组态属性。 4. 在本地安全设置的“常规”(General) 条目中，输入以下数据：执行模块特定的日志设置 日志设置 -概述 模块特定的功能 某些记录功能只适用于特定安全模块。 组态中的日志设置此处设置的日志设置通过组态加载到模块中，并在安全模块启动时生效。必要时，可以在在线功能中限制组态的数据滤日志设置。例如，如果您已对 IP 和 MAC 记录进行了组态，则可以使用在线功能指定只显示IP 记录。 记录过程和事件类别此处，可指定应该记录哪些数据。只要将组态下载到安全模块中，就应启用记录功能。在组态过程中，还应选择一个或两个可用的记录过程： •本地记录 • 网络 Syslog 在两种记录过程中，安全模块会识别以下三种类型的事件： • 数据滤事件 • 审计事件 • 系统事件组态本地记录 如何访问该功能 1. 选择待编辑的模块。 2. 在本地安全设置中，选择“Log settings > Locallog memory”条目。本地记录 - 日志事件的设置 日志事件 含义 注释 数据滤日志（防火墙） 数据滤日志记录了数据通信的特定数据包。只有在数据包与 组态的数据滤规则（防火 墙）相匹配或者采用了基本保护 （损坏或无效的数据包）时，才会记录该数据包。只有在启用了对 数据滤规则的记录时才生效。 在“Packets to be logged”下拉列表中，可以指定要记录的数据包： • “所有数据包”：记录组态的防 火墙规则适用的数据包。此 外，会记录按照组态的 Accept规则通过防火墙的数据包的所 有响应数据包。 • “状态生成的数据包”（仅适用 于 SCALANCE S V3 及更高版本）：记录的数据包只有已组 态的防火墙规则（标准模式或 gaoji模式）适用并且Zui初在防 火墙中生成状态的数据包。不会记录使用此防火墙状态通过 防火墙的数据包。 数据滤日志数据不能保持 数据存储在安全模块中的易失性存储器中，关闭电源后数据不再可用。对 于保持性存储，还可将“Online & diagnostics”对话框中显示的日志数据保存到文件中。 审计日志 审计事件的记录功能始终启用。 记录的信息总是存储在环形缓冲 区中。 审计日志会自动记录安全相关的事件，例如激活或禁用数据包记 录或将组态下载到安全模块等用 户操作。 审计日志数据具有保持性。 数据存储在安全模块中的保持性存储器中，关闭电源后数据仍然可用。 有关 CP 的注意事项： 审计日志文件不会保留在 CP 中。应使用 Syslog服务器备份该数据。