下表列出了操作“双NAT”所需的输入： 功能框 可能的条目 含义 源 IP 地址 源网络中的 IP 地址 源网络中节点的 IP 地址 源转换 - 源NAT 的地址始终转换为目标网络 中安全模块的 IP 地址。无法 组态“源转换”(Source translation)输入框。 目标 IP 地址 源网络中的 IP 地址 源网络中的目标 IP 地址，通过该地 址可以访问目标网络中的 IP 地址。如果帧的目标 IP 地址与输入的 IP 地 址匹配，那么将用“目标转 换”(Destination translation) 输入框中指定的 IP 地址替换该 IP 地址。 如果此处输入的 IP 地址不是安全模 块的 IP 地址，则会成为别名地址。这意味着，指定的地址还将注册为 所选接口的 IP 地址。确保别名地址 不会在网络中引起 IP 地址冲突。安 全模块的别名 IP地址显示在相应接 口的“别名 IP 地址”(Alias IP addresses) 条目下。 目标转换 目标网络中的 IP 地址 目标IP 地址由此处指定的 IP 地址替 换。 编号 - STEP 7 分配的连续编号，用于引用 STEP 7 根据 NAT规则生成的防火墙 规则。 gaoji NAT 编辑器 选择一个 NAT 规则后，在巡视窗口的“属性 >常规”(Properties > General) 中，会显示gaoji NAT 编辑器，用于对端口和 IP地址的地址范围进行简单组态。在该编辑器中进行的更改会 应用到所选 NAT 规则中。可在gaoji NAT 编辑器中复制所选NAT 规则和 NAT 规则 集。要复制 NAT 规则集，必须选中该规则集的第一行。通过修改为 NAT 规则调整生成的 IP 规则，可指定使用哪些已复制的 NAT 规则。以下部分通过示例介绍gaoji NAT 编辑器中地址范 围的组态。
在gaoji NAT编辑器中组态地址范围 可在文本框“起始地址”(From) 和“结束地址”(To) 列中组态地址范围。如果为一个 NAT 规则组态了多个地址范围，每种情况下的地址数必须匹配。组态地址范围后，STEP 7 会通过所选 NAT 规则（包含每个地址的对应 NAT规则）创建一个 NAT 规则集。 另一种方法是，在端口的文本框中，可将占位符“*”用在“结束地址”(To) 栏中。在此情况下，会根据其它 NAT 参数形成受影响的端口范围和 NAT 规则。 使用 NAPT 进行地址转换 菜单栏中提供以下控制元素：操作员控制元素 功能 激活 NAPT 启用 NAPT 规则编辑器。如果编辑器已启用，相应的规则可进行组态，并会在加载过程中传送到模块。选择 NAPT 规则后，巡视窗口的“属性 > 常规”(Properties > General) 选项卡中会提供gaoji NAPT 设置编辑器。 上插规则 将规则插入到所选规则/所选规则集上方。要上插规则集，则必须选中其第一行。下插规则 将规则插入到所选规则/所选规则集下方。要下插规则集，则必须选中其第一行。 上移将所选规则/所选规则集上移一行。要移动规则集，则必须选中其第一行。 下移将所选规则/所选规则集下移一行。要移动规则集，则必须选中其第一行。 展开规则集 展开显示现有规则集。 折叠规则集 折叠显示现有规则集。分离 将所选行转换为单独的规则。如果选择的是规则集的第一行，则规则集的所有规则都会转换为单独的规则。如果选择的是规则集中包含的一个规则，则该规则会转换为单独的规则。 规则集的以下规则也会转换为单独的规则集。创建 NAPT 规则以后，相应的防火墙规则会在gaoji防火墙模式下生成并显示，请参见以下部 分： NAT/NAPT路由器与防火墙之间的关系 (页 537)可在以下方向上使用 NAPT 执行 IP 地址转换： • 外部到内部如果安全模块（仅适用于 SCALANCE S623/S627-2M）的 DMZ 接口已激活，还可以在以下 方向上使用 NAPT 执行IP 地址转换： • 外部到 DMZ • DMZ 到内部 • DMZ 到外部 如果 SCALANCE S 模块（仅适用于SCALANCE S612/S623/S627-2M V4 及更高版本）在 VPN 组中并且启用了隧道接口，还可以在以下方向上使用NAPT 执行 IP 地址转换： • 隧道到内部 • 隧道到外部 • 隧道到 DMZ（仅当 DMZ 接口激活时）例如，以下规则适用于“外部到内部”方向：将用于安全模块外部 IP 地址的帧和用于“虚 拟端口”(Virtual port)列中所输入端口的帧转发到内部网络中指定的目标 IP 地址和指定的目 标端口。 将帧转发至目标网络所用的 IP 地址显示在“虚拟 IP地址”(Virtual IP address) 列。如果方向 起始为外部，该地址为安全模块的外部 IP 地址；如果方向起始为DMZ，该地址为安全模块 DMZ 接口的 IP 地址。 下表列出了“NAPT”选项卡中使用 NAPT 进行地址转换所需的输入。 功能框可能的条目 含义 虚拟端口 TCP/UDP 端口或端口范围 输入端口范围的示例：78:99源网络中的节点可以通过该端口号将帧发送到目标网络 中的节点。 目标 IP 地址 目标网络中的 IP 地址 将用于源网络中安全模块 IP地址的帧和用于“虚拟端 口”(Virtual port) 框中所指定 TCP/UDP 端口的帧转发到此 处指定的 IP 地址。目标端口 TCP/UDP 端口 向其转发来自源网络的帧的端口号。 协议 • TCP+UDP • TCP • UDP为指定的端口号选择协议系列 编号 - STEP 7 分配的连续编号，用于引用 STEP 7 根据 NAPT 规则生成的防火墙规则。gaoji NAPT 编辑器 选择一个 NAPT 规则后，gaoji NAPT 编辑器会出现在巡视窗口的“属性> 常规”(Properties > General) 中，并用于对端口和 IP地址的地址范围进行简单组态。在该编辑器中进行的更改 会应用到所选 NAPT 规则中。所选 NAPT 规则和 NAPT规则集可复制到gaoji NAPT 编辑器中。要复制 NAPT 规则集，则必须选中其第一行。可通过调整为 NAPT 规则生成的 IP规则指定使用哪一已复制 NAPT 规则。以下部分通过示例介绍gaoji NAPT 编辑器中地址范围 的组态。 gaoji NAPT编辑器中地址范围的组态 可在文本框“起始地址”(From) 和“结束地址”(To) 列中组态地址范围。如果为 NAPT 规则组态了多个地址范围，每种情况下的地址数必须匹配。组态地址范围后，STEP 7 会通过所选 NAPT 规则（包含每个地址的对应 NAPT规则）创建 NAPT 规则集。 下例介绍了虚拟端口、目标 IP 地址和目标端口的地址范围组态。gaoji NAPT 编辑器：示例3（NAPT 规则） 在示例 3 中，每个 NAPT 规则的虚拟 IP 地址和虚拟端口都完全相同。在这种情况下，使用 哪一 NAPT规则是由 STEP 7 为 NAPT 规则创建的防火墙规则的优先级决定的。为 NAPT 规则 创建的编号为 NAPT_1.1的防火墙规则的优先级Zui高。 图gaoji NAPT 编辑器：示例 3（防火墙规则） 为此，将用于 IP 地址 192.168.0.1以及范围在 85...90 的端口的所有帧都会转发到目标 IP 地 址 192.168.1.5 和目标端口 95。 为了对虚拟 IP地址相同、虚拟端口/端口范围相同的 NAPT 规则进行唯一标识，可在相关 IP 规 则中组态源 IP 地址。源 IP地址随后决定使用哪一 NAPT 规则。在 VPN 隧道中使用 NAT/NAPT 进行地址转换 模块特定的功能 在 VPN 隧道中使用NAT/NAPT 进行地址转换仅适用于 SCALANCE S612/S623/S627-2M V4 模 块及更高版本，请参见 在VPN 隧道中使用 NAT/NAPT 进行地址转换 (页 624)部分： NAT/NAPT 路由器与防火墙之间的关系 含义在创建 NAT/NAPT 规则后，STEP 7 自动生成防火墙规则，启用在组态的地址转换方向上的通信。所生成的防火墙规在gaoji防火墙模式中显示为防火墙规则集，并可根据需要对其进行扩展 （附加 IP 地址/IP 地址范围/IP地址段、服务、传输速度）。应就优先级和位置等对自动生成的防火墙规则进行检查。如果规则列表里还存在优先级高于自动生成的防火墙规则的 手动组态的防火墙规则，在某些情况下将不执行NAT/NAPT。 如果存在多个相同的 NAT/防火墙规则对，则由防火墙规则列表中的优先级决定所使用的规则。 无法更改 STEP 7生成的防火墙参数。取消激活 NAT/NAPT 后，将禁用 STEP 7 生成的防火墙 规则。 为指明 NAT/NAPT规则和对应的防火墙规则之间的关系，相关规则以对应的连续编号进行标 识。 在为 NAT/NAPT规则自动生成的防火墙规则中，无法禁用“状态”(Stateful) 复选框。状态数据包检查 防火墙和 NAT/NAPT路由器支持“状态数据包检查”机制。回复帧可以通过 NAT/NAPT 路由器和防火墙，而不需要将其地址额外包含在防火墙规则和NAT/NAPT 地址转换中。 NAT/NAPT 路由器与用户特定防火墙之间的关系 模块特定的功能 用户特定防火墙中的NAT/NAPT 规则组态仅适用于 V3 及更高版本的 SCALANCE S 模块，请 参见以下部分： NAT/NAPT路由器与用户特定防火墙之间的关系 (页 625)组态时间同步 时钟同步的步骤 含义对于传送生产数据的时间同步，日期和时间保存在安全模块中，用于验证证书以及时间戳日 志条目的有效性（时间）。对于 Security功能，必须同步项目安全模块的时钟。 说明 组态防火墙以便与 NTP 服务器通信 如果安全模块无法访问 NTP服务器，则需要在防火墙中明确允许来自 NTP 服务器的帧 （UDP，端口 123）。 说明时间同步仅与安全模块相关，且不能用于同步安全模块内部网络中的设备。 有些 CP 可以将时间转发到站中的其它模块。CP 443‑1 OPC UA 只能从站中接收 SIMATIC 模式的时钟，不能转发。 说明 使用CP（时钟从站）的安全功能前，该 CP 必须从时间主站接收有效的时钟帧。 为安全模块组态时间同步 如何访问该功能 1.选择待编辑的模块。 2. 在本地安全设置中选择“时间同步”(Time-of-day synchronization) 条目。 3.选中“激活时间同步”(Activate time-of-day synchronization) 复选框。