在全局安全功能中创建类型为“NTP (secure)”的 NTP 服务器 在全局安全功能中，仅可创建类型为“NTP(secure)”的 NTP 服务器并为其分配设备。 1. 在全局安全功能中，选择条目“NTP”。 结果：所选条目下将显示之前创建的NTP 服务器（安全）。 2. 双击“添加新 NTP 服务器”(Add new NTP server) 条目。结果：在条目“NTP”下，会显示创建的 NTP 服务器（安全）和自动分配的编号。 3. 双击创建的 NTP 服务器（安全）。结果：在工作区会显示 NTP 服务器（安全）的分配对话框。在“NTP 服务器”(NTP server) 下拉 列表中，将选中所选的NTP 服务器（安全）。可为其分配所需的安全模块，具体请参见为 NTP 服务器（安全）分配安全模块 (页546)部分。在本地安全设置中，会显示 NTP 服务器（安全） 可组态的属性。4. 在本地安全设置的“常规”(General)条目中，输入以下数据： – 名称：NTP 服务器（安全）的名称Zui多可使用 25 个字符。 – IP 地址/FQDN：NTP服务器（安全）的地址。 – 端口：NTP 服务器端口。可用端口如下：123（默认端口），1025 到 36564。 –同步周期：以秒为单位的两次查询间的时间间隔。可能的值介于 16 到 16284 秒之间。 5. 在本地安全设置的“NTP密钥”(NTP keys) 条目中，输入以下加密参数：时钟同步的步骤 根据使用的安全模块，可以组态下列方法： 步骤 含义每次下载后设置时间 下载组态后，模块时间自动设置为 PC 时间。 SIMATIC 通过接收到的 MMS 时钟消息进行时钟同步（MMS= 制造报文规范） 对于 CP，选择 CP 是采用时钟还是转发时钟。CP 1628 总是转发时间。如果未组态使用 NTP 进行时钟同步，则 CP 443‑1 OPC UA 使用 SIMATIC 模式。 它只能从站中接收时钟，不能转发。 可用的方向： • 自动CP 从工作站或 LAN 接收时间，并转发给工作站 或 LAN。如果站中运行多个 CPU，默认设置会导致冲突。为避免此问题，应明确定义转发方 向。 • 从站 CP 将时钟转发到 LAN。 • 从 LAN CP 将时钟从 LAN转发到站。 如果启用了时间转发，则可借助“使用校正时 间”(Use corrected time) 复选框指定是否使用时间帧中的修正因子。对于 CP 1628，该选项为默认选 项，且无法禁用。从伙伴获得时钟 时间从相关通信伙伴获取。同步周期：指定时钟同步周期。对于 CP 的同步周 期，可指定单独的小时或分钟间隔。 NTP / NTP (secure) 通过 NTP服务器/“NTP (secure)”类型的 NTP 服务器 进行时钟同步。 • 时区：在 NTP 模式中，通常会传送 UTC（Universal Time Coordinated，世界标准时 间）。这对应于 GMT（格林尼治标准时间）。可以通过组态本地时区来设置与 UTC 的时间偏 移量。 • 更新间隔以秒为单位：指定两次时间查询之间 的时间间隔（单位为秒）。对于SCALANCE S V3 及更高版本，将自动指定查询 NTP 服务器的 时间间隔。 如果在 CP 的本地安全设置中启用了“启用安全功能”(Enable security functions) 复选框，更新 间隔的设置从 CP 的本地设置传输到 CP 的本地安全设置。 • 整分钟的时钟同步：使用此选项，可以指定在 整分时将时钟转发到通信总线。某些特殊应用 需要使用该选项。 • 接受非同步NTP 服务器的时钟：在此可以指定 安全模块是否还接受非同步 NTP 服务器的时钟。 • 将时间转发到站：如果 CPU 单独从 NTP服务器 请求时间，则禁用该选项。这可防止 CPU 直接 从 NTP 服务器获取的时间被 CP 中检测到的时间 所覆盖。通过 CP转发可能会导致精度略微下 降。 • NTP 服务器：有关在本地安全设置中创建 NTP 服务器的信息，请参见组态 NTP 服务器(页 544)部分。
结果 已创建 NTP服务器（安全），现在可将其分配给需要的安全模块。 请注意以下部分中的说明信息： 为 NTP 服务器（安全）分配安全模块(页 546) 在本地安全设置中创建非安全 NTP 服务器 必须在本地安全设置中创建非安全 NTP 服务器 1.选择待编辑的模块。 2. 在本地安全设置中选择“时间同步”(Time-of-day synchronization) 条目。 3.选择同步方法。 4. 输入 NTP 服务器的名称和 IP 地址。名称Zui多可使用 25 个字符。如果选择了“NTP (secure)”同步模式，则可在“名称”(Name) 列中选择已在全局安全功能中创建的 NTP 服务器 (secure)。 NTP 服务器命名约定NTP 服务器名称可使用字符 0-9、a-z、A-Z、-、_。名称必须以字母开头、以字母或数字结尾。在“.”字符之前只允许使用字母或数字，“.”字符之后只允许使用字母。在“_”或“-”字符之前 只允许使用字母或数字。 导入/导出NTP 服务器 (secure) 的密钥列表 使用快捷菜单中的“导入”(Import) 或“导出”(Export)命令，可导出全局安全功能中的当前 所选 NTP 服务器 (secure) 的密钥列表并将该文件导入到 NTP 服务器 (secure)中，亦 然。 为 NTP 服务器（安全）分配安全模块 要求 • 已在全局安全功能中定义了一个 NTP 服务器 (secure)。• 在安全模块的本地安全设置中选择“NTP”或“NTP (secure)”作为时钟同步模式，该安全模块 将分配给 NTP 服务器(secure)。 步骤 1. 在全局安全功能中，双击“NTP”条目。 2. 双击条目“将模块分配到 NTP 服务器”(Assignmodule to an NTP server)。3. 从“NTP 服务器”(NTP Server) 下拉列表中，选择待分配安全模块的NTP 服务器 (secure)。 4. 在“可用模块”(Available modules) 部分中，选择要分配给所选 NTP服务器 (secure) 的安全模 块。 5. 单击“<<”按钮，将所选安全模块分配给所选 NTP 服务器(secure)。 结果 将安全模块分配给了 NTP 服务器 (secure)。在 NTP 服务器列表的本地安全设置中将自动显 示该NTP 服务器 (secure)。 安全模块作为 DHCP 服务器 模块特定的功能 仅在使用 SCALANCE S模块时，才能将安全模块用作 DHCP 服务器，请参见以下部分： 安全模块作为 DHCP 服务器 (页 627) 组态SNMP SNMP 概述 什么是 SNMP？ 安全模块支持通过简单网络管理协议 (SNMP) 传输管理信息。为此，在安全模块上安装一个 SNMP 代理，用于接收和响应 SNMP 请求。 兼容 SNMP 的设备属性上的信息将输入到 MIB 文件中（MIB = 管理信息库），用户必须对该文件具有相应的权限。 在 SNMPv1 中，还将发送“社区字符串”。“社区字符串”类似于一个密码，与 SNMP 请求 一起传输。 如果社区字符串正确，安全模块将答复所需的信息。 如果字符串不正确，安全模块将放弃查询不作回复。 社区字符串通过 SNMPv1 进行传输而不必加密。 SNMPv3 可用于传输加密数据。 组态 SNMP-“SNMP”条目 如何访问该功能 1. 选择待编辑的模块。 2. 在本地安全设置中，选择“SNMP”条目。3. 激活“激活SNMP”(Activate SNMP) 复选框。 4. 选择以下 SNMP 协议版本之一： 说明 通过 SNMPv3 加密传输数据要增强安全性，应使用 SNMPv3 以加密形式传输数据。 – SNMPv1 安全模块使用团体字符串的以下默认值来控制 SNMP代理中的访问权限。应采用这些 默认值来提高安全性。 针对读访问：公有 针对读和写访问：私有 要通过 SNMP进行写访问，请选择“允许写访问”(Allow write access) 选项。 – SNMPv3仅选择验证算法或选择验证算法和加密算法。 验证算法：无、MD5、SHA-1 加密算法：无、AES-128、DES 说明 防止使用DES DES 是一种不安全的加密算法。只有在需要向下兼容时才应使用此算法。 说明 使用 SNMPv3 时，不进行 RADIUS验证。 5. 如果要使用 SNMPv3，可为用户角色分配相应的已激活 SNMP 权限，从而通过 SNMP 启用对 该模块的访问。有关SNMP 权限的概述，请参见以下部分： 安全功能用户管理的特殊功能 (页 457)。 6.在“gaoji设置”(Advanced settings) 区域中，为 SCALANCE S 模块组态模块特定的作者、位置和电子邮件地址信息，这些信息会覆盖项目属性的信息。 以下说明适用于通过 SNMP 工具使用 SNMP-SET 命令写入安全模块的值：如果选中“保持通过 SNMP 设置写入的值”(Keep values written by SNMP set) 复选框，则有其 它STEP 7 组态下载到安全模块时，该值也不会被覆盖。 组态代理 ARP 模块特定的功能 该功能只适用于 SCALANCE S V3模块或更高版本在安全模块上激活 Web 服务器 模块特定的功能 该功能仅适用于 CP 343-1 Advanced/CP 443-1Advanced 和 CP 443-1 OPC UA，请参见： “S7-300/S7-400/PC CP的安全性”部分中的“在安全模块上激活 Web 服务器 (页 658)”部分。 IPsec VPN 隧道：创建和分配 VPN 组如何使用 VPN 组创建 IPsec 隧道 要求 说明 安全模块上的当前日期和时钟 使用安全通信（例如HTTPS、VPN...）时，确保涉及的安全模块具有当前时钟和当前日期。 否则，使用的证书将无法评估为有效，且安全通信不会工作。 创建VPN 组 1. 在全局安全功能，选择条目“VPN 组”(VPN groups)。 结果：所选条目下将显示之前创建的 VPN 组。2. 双击“添加新 VPN 组”(Add new VPN group) 条目。 结果：将打开“为 VPN 组创建证书”(Createcertificate for VPN group) 窗口。会自动推断 VPN 模式。 3.如有必要，可在“主题的公用名”(Common name of subject) 下更改自动创建的名称。 结果：在“VPN 组”(VPNgroups) 条目下，会显示创建的 VPN 组和为“主题的公用名”(Common name of subject) 输入的名称。还可以在网络视图中右键单击带 VPN 功能的模块接口，并使用快捷菜单命令“添加新 VPN 组”(Add new VPNgroup)创建 VPN 组。所选的安全模块自动分配到创建的 VPN 组。 4. 双击创建的 VPN 组。 结果：在工作区会显示VPN 组设置的分配对话框。在“VPN”下拉列表中将选中所选的 VPN 组。 可在相关分配对话框中为其分配安全模块，具体请参见向VPN 组分配安全模块 (页 552)部分。 在本地安全设置中，可调整所选 VPN 组的 VPN 组属性，具体请参见组态 VPN组的属性 (页 554)部分。