系统日志 系统日志会自动记录连续的系统事件，例如启动一个进程或用户 尝试登录失败事件。 选择“Log settings > Systemevents”条目可组态事件过滤器和 电缆诊断功能。 系统日志数据不具有保持性 数据存储在安全模块中的易失性存储器中，关闭电源后数据不再可用。对 于保持性存储，还可将“Online & diagnostics”对话框中显示的日志数据保存到文件中。 表格 1-36 本地记录 - 已记录数据的存储 存储 含义 环形缓冲区到达缓冲区结尾时，记录会在缓冲区的起始处继续进行，并覆盖Zui 早的条目。 一次性缓冲区 缓冲区已满时即停止记录。 组态系统事件如何访问该功能 1. 选择待编辑的模块。 2. 在本地安全设置中，选择“日志设置 > 系统事件”(Log settings> System events) 条目。 过滤系统事件 在该对话框中，设置系统事件的过滤级别。默认情况下，将设置以下值： •SCALANCE S：3 级（错误） • CP：3 级（错误）记录与所选过滤级别具有相同优先级和具有比所选过滤级别更高优先级的系统事件。过滤级 别的值越低，优先级越高，记录的事件更少。所选过滤级别的优先级必须与在电缆诊断中设置的严重级别相同或低于该严重级别；请参见 “设置线路诊断的参数”表（不适用于 CP）。建议：选择“错误”作为过滤级别或具有更高优先级的过滤级别，以防记录常规非关键性事 件。有关 CP 的注意事项 对于 CP，只选择 3级或 6 级，因为只为 CP 生成了这两个级别的事件。 • 如果选择了 3 级，则会输出 0 级到 3 级的错误消息。 • 如果选择6 级，则将输出 0 到 6 级的错误消息。 系统事件的属性 - 线路诊断（仅适用于 SCALANCE S）线路诊断将生成特殊的系统事件。达到可选的错误帧百分比时，会生成系统事件。该系统事 件将被分配在该对话框中设置的严重程度和设施。 表格1-37 设置线路诊断的参数 功能/选项/参数 含义 启用 启用和禁用记录 限值 可选的错误帧百分比，表示触发系统事件时的限值。 设施从下拉列表中选择能够识别要记录的系统事件的设施。 严重程度 使用该严重程度，可相对于其它系统事件的严重程度偏重于线 路诊断的系统事件。说明 线路诊断系统事件的严重程度 线路诊断系统事件的严重程度不得低于为过滤器设置的严重程度。如果严重程度较低，这些事件将无法通过过滤器，并且不会被记录。 组态网络 Syslog 如何访问该功能 1. 选择待编辑的模块。 2.在本地安全设置中，选择“Log settings > Network Syslog”条目。网络 Syslog - 基本设置选项/参数 Enable network Syslog 启用和禁用将记录事件传送到 Syslog 服务器的功能。 Syslogserver 输入 Syslog 服务器的 IPv4/IPv6 地址或 FQDN。需要有 DNS 组态才 能使用 FQDN。必须可通过所指定地址的安全模块访问 Syslog 服务器，或者使用 本地安全设置的“Routing”条目下的路由器组态（如果适用）。如果无法访问 Syslog 服务器，则不会发送 Syslog 消息。可根据相应 的系统报警判断这种操作状态。要激活发送 Syslog信息，则 必须更新路由信息并重新启动安全模块。 Enable event classes 启用要传送到 Syslog服务器的事件的类别。可以根据 Severity 并 根据其来源使用 Facility 对数据滤和审计事件进行分类。 Modulename 将显示模块名称，该名称无法在此处进行更改。 说明 记录事件的非安全传送 记录事件将以明文形式传送到 Syslog服务器。使用 Syslog 服务器时应该考虑到这一点。
数据滤事件（防火墙）数据滤日志记录了数据通信的 特定数据包。只有在数据包与组态 的数据滤规则（防火墙）相匹 配或者采用了基本保护（损坏或无效的数据包）时，才会记录该数据 包。只有对数据滤规则激活了 记录功能时才生效。 可以通过设置报警工具和严重程 度，根据Syslog 报警来源和严重 程度等级进行分类。并通过下拉列 表进行分配。在此设置的严重程度 和报警工具将分配给每个事件。选择的值取决于 Syslog 服务器中的评估。 如果保留“默认”值设置，安全模块将指 定在显示事件时显示报警工具和严重 程度。审计事件 审计日志会自动记录安全相关的事 件，例如激活或禁用数据包记录或 将组态下载到安全模块等用户操 作。可通过下拉列表分配严重程度和报 警工具。在此设置的严重程度和报 警工具将分配给每个事件。 选择的严重程度和设施的值取决于 Syslog服务器中的评估。 如果保留“default”值设置，安全模块将指 定在显示事件时显示报警工具和严重 程度。 系统事件系统日志会自动记录连续的系统事 件，例如启动一个进程或用户尝试 登录失败事件。 在本地安全设置中选择“Log settings> System events”条目，以组态事件过滤器 和电缆诊断功能。 安全模块用作路由器 路由设置概述 含义如果在路由模式下运行安全模块，则连接到内部接口和外部接口的网络将转换为单独的子网。 无论何种模式，DMZ 接口（仅适用于SCALANCE S623/S627-2M）均以路由模式连接。路由 模式下，将转发用于子网中现有 IP地址的帧。将应用该传输方向的防火墙规则。可使用以下附加选项： • 设置特定路由 -可以在本地安全设置中的“路由”(Routing)（仅 SCALANCE S）下进行设 置，请参见 指定路由 (页 623)。• 使用标准路由器 - 可在本地安全设置中通过“外部接口 [P1] 红色”(External interface [P1]red)、“内部接口 [P2] 绿色”(Internal interface [P2] green) 或“DMZ 接口 [P3]黄色”(DMZ interface [P3] yellow)（仅适用于 SCALANCES623/S627-2M）进行设置，请参见组态 IP 地址参数 (页 593)。 每个安全模块上Zui多可使用一台标准路由器。• NAT/NAPT 路由 - 可通过本地安全设置中的“NAT/NAPT”（仅适用于 SCALANCE S 和 CP 343-1Adv./CP 443-1 Adv.）进行设置。 启用路由模式（仅 SCALANCE S 模块需要）在此模式中，需要在本地安全设置中组态内部 IP 地址和内部子网掩码，以便对内部子网中的路由器进行寻址。不属于同一个子网的所有网络请求都会由安全模块转发到不同的子网。 注意：与安全模块的网桥模式在路由模式下VLAN 标签会丢失。 1. 在本地安全设置的“模式”(Mode) 下选择“路由模式”(Routing mode) 选项。 2.在本地安全设置中，输入一个内部 IP 地址和一个内部子网掩码，用于寻址“内部接口 [P2] 绿 色 >以太网地址”(Internal interface [P2] green > Ethernet addresses)下输入框内所输入的内 部子网中的路由器。 NAT/NAPT 概述 要求 • 安全模块处于路由模式，或 DMZ 接口已激活（仅适用于SCALANCE S623/S627-2M）。 • 由于会为 NAT/NAPT规则自动生成防火墙规则来启用在组态的地址转换方向上的通信，因 此必须为安全模块启用gaoji防火墙模式和 IP规则编辑器中的防火墙。有关详细信息，请 参见 NAT/NAPT 路由器与防火墙之间的关系 (页 537)部分。如何访问该功能 1. 选择要编辑的模块。 2. 在本地安全设置中，选择“NAT/NAPT”条目。 3. 使用“打开编辑器”(Openeditor) 按钮调用相应的编辑器。 4. 需要时，根据 NAT（Network AddressTranslation，网络地址转换）或 NAPT（Network Address PortTranslation，网络地址端口转换）组态地址转换。使用 NAT（网络地址转换）进行地址转换 NAT是一种在两个地址空间内转换地址的程序。 主要任务是将私有地址转换为公共地址；转换为在 Internet 上使用甚至路由的IP 地址。这样，内部网络的 IP 地址便不会被外部网络的外部得知。内部节点仅通过地址转换列表 （NAT 表）中指定的外部 IP地址对外部网络可见。如果外部 IP 地址不是安全模块的地址并且 内部 IP 地址是唯一的，这称为 1:1 NAT。利用 1:1NAT，内部地址转换为该外部地址时无需 端口转换。否则，会使用 n:1 NAT。 使用 NAPT（网络地址端口转换）进行地址转换 使用NAPT 进行地址转换会将目标地址和目标端口更改为通信关系（端口转发）。 会转换来自外部网络或 DMZ 网络并将用于安全模块 IP地址的帧。如果帧的目标端口与“源 端口”(Source port) 列中指定的其中一个值相同，则安全模块会替换 NAPT表的相应行中指 定的目标 IP 地址和目标端口。回复时，安全模块将初始帧中包含的目标 IP 地址和目标端口 的值用作源 IP地址和源端口。 与 NAT 的区别是，此协议可以转换端口。不存在 1:1 的 IP 地址转换。此时，只有一个 公共 IP地址转换为一系列私有 IP 地址外加端口号。 VPN 隧道中的地址转换 对通过 VPN 隧道建立的通信关系，可使用 NAT/NAPT进行地址转换。SCALANCE S612/S623/ S627-2M V4 型的连接伙伴支持该地址转换。 有关在 VPN隧道中进行地址转换的详细信息，请参见以下部分： • NAT/NAPT 路由 (页 525) • 在 VPN 隧道中使用NAT/NAPT 进行地址转换 (页 537) 一致性检查 - 必须遵守这些规则 请记住以下规则，以获得一致的条目：• 内部接口的 IP 地址不得在 NAT/NAPT 表中使用。 • NAT/NAPT 地址转换列表中使用的 IP地址不能是组播地址或广播地址。 • 为 NAPT 转换分配的外部端口的范围在 0 到 65535 之间（含 65535）。 端口123 (NTP)、端口 443 (HTTPS)、端口 514 (Syslog)、端口 161 (SNMP)、端口 67+68(DHCP) 和端口 500+4500 (IPsec) 在安全模块上已激活相关服务时除外。 • 安全模块的外部 IP 地址或 DMZ接口的 IP 地址只能在操作“源 NAT”的 NAT 表中使用。