在所组态 VPN组中包含安全模块 添加到现有 VPN 组中的安全模块将采用所组态的 VPN 组属性。 在所组态 VPN 组中加入安全模块后的步骤根据上次下载后是否已更改 VPN 组的属性，必须区分以下情况： • 情况 a：如果未更改 VPN 组属性，并且要添加的模块与SCALANCE S、CP 343-1 Adv./CP 443-1 Adv. 或 CP 1628 类型的模块主动建立连接： 1.将新安全模块添加到 VPN 组中。 2. 将组态下载到新模块。 • 情况 b：如果已更改 VPN组属性，或者要添加的模块不主动与已组态的模块建立连接： 1. 将新安全模块添加到 VPN 组中。 2. 将组态下载到属于该 VPN组的所有模块。 对于情况 a，不必重新组态和加载已经调试的安全模块。激活的通信不受影响或中断。从 VPN 组移除活动成员后的步骤如果从现有 VPN 组中删除活动节点，那么仍可通过将项目重新下载到 VPN 组的所有成员，建 立与组成员的连接。如果不希望所删除的活动节点继续建立连接，则需更新 CA 组证书并将项目重新下载到 VPN 组的成员中。可以在 VPN组的组属性中或者在证书管理器的“CA”选项卡中更新证书。 组态可通过隧道访问的网络节点 概述 组态可通过隧道访问的网络节点每个安全模块都必须了解可通过 VPN 隧道访问的网络节点，以识别帧的真实性。 安全模块必须了解自己的节点以及同一 VPN组中其它安全模块的节点。安全模块使用该信 息来决定待传输的数据包以及数据包传输的隧道。 向 VPN组添加安全模块后，该安全模块的本地内部节点/子网将自动为安全模块所知。要通 过 VPN 隧道实现与其它子网或另一子网（路由内网；当VPN 隧道在外部接口上则为 DMZ 网 络，亦然）中节点的通信，必须在组态中为 VPN 隧道通信启用这些子网或节点。 通过SCALANCE S 模块，网络节点可自动获知或进行静态组态。安全模块的模式还决定了可 用的内部网络节点学习选项。 处于网桥模式的SCALANCE S 在网桥模式下，可组态 IP/MAC 节点和子网，也可通过 SCALANCE S 自动学习节点。 处于路由模式的SCALANCE S 在路由模式下，不提供自动学习模式。并且，要在此输入需释放给隧道通信的全部子网。 CP 343-1Advanced/CP 443-1 Advanced 和 CP 1628 • CP 343-1Advanced/CP 443-1 Advanced 确定是否允许路由模式下的 VPN 连接伙伴 (SCALANCES/M) 与 CP（Gbit 接口）和/或与 内部子网（PROFINET 子网）进行隧道通信。 • CP 1628输入要通过路由模式下的 VPN 连接伙伴 (SCALANCE S/M) 的隧道访问的 NDIS 节点。
已激活通信模块之间的IP 路由的 CP 1543-1 V2.1 及更高版本 输入可通过站的背板总线进行访问的以及需要释放给隧道通信的子网或 IP 地址。自动学习内部网络节点 模块特定的功能 网桥模式下的 SCALANCE S 模块提供了一种学习模式，该模式支持设备在运行期间自动学习内部网络节点。有关更多详细信息，请参见以下部分： 使用学习模式学习内部节点 (页 631) 为 SCALANCE S手动组态 IP 网络节点 模块特定的功能 有关如何手动组态 SCALANCE S 模块中 IP 网络节点的信息，请参见 手动组态 IP网络节点 (页 632)。 为 SCALANCE S 手动组态 MAC 网络节点 模块特定的功能 有关如何手动组态SCALANCE S 模块中 MAC 节点的信息，请参见 手动组态 MAC 网络节点 (页 633)。 为 SCALANCES 手动组态内部子网 模块特定的功能 有关组态 SCALANCE S 模块的内部子网的信息，请参见 手动组态内部子网(页 633)。允许 VPN 连接伙伴访问 S7-300/S7-400 CP 模块特定的功能 有关允许 VPN 连接伙伴访问S7-300/S7-400 CP 的实现方式，请参见“S7-300/S7-400/PC CP 的安全性”部分中的 允许 VPN连接伙伴访问 S7-300/S7-400 CP (页 659)。 组态可以通过隧道连接的 PC CP 的 NDIS 节点模块特定的功能 有关为 PC CP 组态可通过隧道访问的 NDIS 节点的信息，请参见“S7-300/S7-400/PC CP 的安全性”部分中的 手动为 PC CP 组态可通过隧道访问的 NDIS 节点 (页 659)。 为 CP 1543-1组态可通过背板总线访问的子网 模块特定的功能 有关如何为 CP 1543-1 V2.1及更高版本组态可通过站的背板总线访问的子网和网络节点的 信息，请参见 为 CP 154x-1 组态可通过背板总线访问的 S7 子网(页 673)部分。 组态模块特定和连接特定的 VPN 设置 要求 该模块是 VPN 组中的成员。 模块特定和连接特定的设置借助模块特定和连接特定的设置，可组态特定的 VPN 设置。模块特定的设置专为某个安全 模块组态，而连接特定的设置则专门为特定 VPN组中的某个安全模块组态。 可以在本地安全设置中通过“VPN”条目组态以下模块特定的属性： • 失效伙伴检测 •发起建立连接的权限。
• 通过 Internet网关进行通信的公共地址（IP 地址/FQDN） • Road Warrior 连接的响应方设置 • 隧道通信所需启用的节点如果选择“网络数据”(Network data) 区域中 VPN 组列表中的一个安全模块，则会显示并可 组态下列连接特定的 VPN设置： • 发起建立连接的权限 • 与之存在隧道连接的伙伴模块 • 已传送数据包的类型 • 所选安全模块上将用作隧道端点的本地接口选项• 将用作隧道端点的伙伴接口选项启用 DPD 后，如果这些点上没有及时出现通信，模块将以可选择的间隔交换其它信息。这 意味着可识别IPsec 连接是否仍然有效或者需要重新建立连接。如果不再存在连接，将提前 终止阶段 2 的安全关联 (SA)。如果禁用DPD，则只有在 SA 有效期到期后才会终止 SA。有 关设置 SA 有效期的信息，请参见 组态 VPN 组的属性(页 554) 部分。 发起建立连接的权限 可将发起建立 VPN 连接的权限限制到 VPN 中的特定模块。所介绍的参数设置的决定性因素是正在组态的模块的网关地址分配。如果分配了静态 IP 地址， 则伙伴可找到该模块。如果 IP地址为动态分配，并持续发生变化，则伙伴无法按照实 际情况建立连接。 模式 含义 启动与伙伴（发起方/响应方）的连接 （默认）如果选择此选项，模块会处于“激活”状态，也就是 说，模块会尝试与具有固定 IP 地址的伙伴建立连接。 还可能接收建立 VPN连接的请求。 从提供商处为正在组态的安全模块的网关获取动态 IP 地址时，建议选择此选项。 通过伙伴的已组态 WAN IP地址、已组态外部模块 IP 地址或已组态的 DNS 名称对伙伴进行寻址。 等待伙伴（响应方）如果选择此选项，模块会处于“被动”状态，也就是 说，模块会等待伙伴来发起连接。 从提供商处为正在组态的安全模块的网关分配静态 IP地址时，建议选择此选项。这意味着只能由伙伴发起 连接建立尝试。例如，此伙伴可以具有动态 WAN IP 地址。 说明 请确保未将 VPN组中的所有模块都设置为“等待远程 VPN 网关的连接”，否则将不会建立 连接。WAN IP 地址/FQDN - Internet 上的VPN 中的模块和网关的地址 通过 Internet 上的 IPsec 隧道运行 VPN 时，Internet 网关（如 DSL路由器）通常需要额外的 IP 地址。各个安全模块或 SCALANCE M 模块必须知道 VPN 中伙伴模块的外部 IP 地址。 说明要将 WAN 用作外部公共网络，请输入提供商提供的 IP 地址作为外部 IP 地址，之后便可在 WAN (Internet)中通过该地址将访问安全模块。要允许安全模块通过 WAN 发送数据包，需 要输入您的 DSL 路由器作为“标准路由器”。 如果使用DSL 路由器作为 Internet 网关，则必须打开以下端口（至少这些端口），如相关文 档中所述： • 端口 500(ISAKMP) • 端口 4500 (NAT-T) 要实现此目的，可在模块特定的 VPN 设置中将 IP 地址分配为“WAN IP地址”。下载模块组 态时，会将伙伴模块的 WAN IP 地址通知给组成员。也可输入 FQDN 代替输入 WAN IP 地址。根据现有地址，可根据以下属性将 VPN 端点用作默认值： 1. WAN 地址 2. 主要动态 DNS 服务的 FQDN 3. 次要动态DNS 服务的 FQDN 4. 安全模块的外部 IP 地址/DMZ IP 地址 注意：删除现有 WAN 地址后，始终使用 IP地址/DMZ IP 地址。 在连接特定的 VPN 设置的接口选择中，可以自行确定将向伙伴通知的地址。也可以在这些 设置中指定，VPN组的节点以及有权建立相关连接的安全模块用于通信的接口。Road Warrior 连接的响应方设置 默认情况下，响应方允许Unknown Peers (Road Warriors) 通过 VPN 配置文件 1 的安全 VPN 属性建立 VPN连接。可通过选择 VPN 组配置文件和选择 VPN 配置文件，允许或禁止 Unknown Peers 建立的 VPN连接及所使用的属性 操作员控制元素 含义 允许 Road Warriors 建立的 VPN 连接 响应方允许 UnknownPeers 建立的 VPN 连接。 VPN 配置文件选择对话框中的 VPN 配置文件 1 - 5 响应方允许未知伙伴通过预定义 VPN配置文件 1 - 5 的属性建立 VPN 连 接。这些 VPN 配置文件的属性与可为 VPN 组选择的后备 VPN 配置文件的属性一致，请参见组态 VPN 组的属性 (页 554)部分。 VPN 配置文件选择对话框中的 VPN 组配置文件响应方允许 Unknown Peers 通过使用复选标记在 VPN 配置文件选择对话 框中选择的 VPN 组属性建立 VPN连接。可选择发送方所处的 VPN 组。Zui 多可选择一个 VPN 组以及将其用作一个 VPN 组配置文件。可使用“添 加”(Add)按钮，创建自动为其分配发送方的新 VPN 组。随后可选择这些 VPN 组获取 VPN 组配置文件的信息。 如果允许 UnknownPeers 通过发送方和 Unknown Peers 所处的 VPN 组 的属性建立 VPN 连接，则必须在选择对话框中选择该 VPN组。