VPN 组中的安全模块默认情况下，“仅隧道通信”(Tunnel communication only) 复选框被启用。如果取消选中该复选框，除隧道伙伴间的隧道通信外，还可以与未连接隧道的网络节点进行通信。 • 如果伙伴地址属于在 STEP 7 中未组态 VPN隧道的已知站，那么通信不通过隧道进行。 • 如果伙伴地址是 VPN 端点，通信将通过隧道进行。 • 如果不清楚连接应绕过还是通过VPN 隧道，连接将分配到 VPN 隧道，并显示一条此结果的消息。可以在gaoji防火墙模式下调整分配，例如，将“从”方向“隧道”更改为“外部”。为避免下一次系统同步时将该更改覆盖，必须选择“Accept*”或“Drop*”操作。 说明如果要确保通信只能通过隧道进行，则需要在gaoji防火墙模式下创建合适的防火墙规则， 例如针对内部节点或 NDIS 地址。 要仅允许CP 进行隧道通信，请使用以下设置添加规则：在安全模块上激活 Web 服务器 模块特定的功能 该功能仅适用于： 含义 激活 Web服务器之后，可访问模块的 Web 页面。在本地安全设置中，可针对基于 HTTPS 协议限制对这些 Web页面的访问。可通过“只允许使用 HTTPS 访 问”(Allow access only using HTTPS)复选框控制该访问。还必须对防火墙进行相应组 态。对于 CP 443-1 OPC UA，仅允许使用 HTTPS 访问 Web服务器。IPsec 隧道：创建和分配组 组态内部网络节点 -“节点”(Nodes) 条目 允许 VPN 连接伙伴访问S7-300/S7-400 CP 可能选择 决定 VPN 连接伙伴是否可在路由模式下访问 CP 和/或 CP 的内部子网(SCALANCE S/M)。 如何访问该功能 1. 选择待编辑的模块。 2. 在本地安全设置中，选择“节点”(Node) 条目。3. 组态在路由模式下对 CP 的 VPN 连接伙伴的访问 (SCALANCE S/M)： – 允许连接到 CP（千兆位接口） –允许连接到内部子网（PROFINET 子网） 手动为 PC CP 组态可通过隧道访问的 NDIS 节点 组态可以通过隧道连接的NDIS 节点 获知内部节点并动态分配给路线。 这将影响 Windows PC 的 NDIS IP 地址。 请按以下步骤操作 1.选择待编辑的模块。 2. 在本地安全设置中，选择“节点 > 可通过隧道访问的 NDIS 节点”(Nodes > NDISnodes reachable via tunnel) 条目。 3. 输入 NDIS IP 地址。在线功能 - 调试/诊断和记录更新的防火墙规则 -“动态更新的防火墙规则”(Dynamically updated firewall rules) 条目模块特定的功能 该功能仅适用于 CP 343-1 Adv./443-1 Adv.。 含义 显示使用 HTTP 或 HTTPS动态启用或由用户加载的 IP 地址或 IP 地址范围。对于启用的 IP 地 址，将显示为 S7 CP 分配的权限。此选项卡中的 IP地址的更新只能通过以下事件触发： • 扩展/修改 IP 访问控制列表 • 防火墙规则更新 • 在运行期间传输到 CP 的动态扩展，例如PROFINET IO 设备 由于此处仅显示动态更新的防火墙规则，还需要考虑到离线组态的防火墙规则和下载到站中的防火墙规则，才能全面了解模块当前的防火墙状态。 S7-1200-/S7-1500-CP 的安全性 设置防火墙S7-1200/S7-1500 CP 的本地防火墙规则 S7-1200/S7-1500 CP 的本地防火墙概述 启用数据滤规则如果在本地安全设置中启用了 CP 的安全功能，则在初始状态下可访问所有 CP 以及通过 CP 进 行访问。
要启用单个数据滤规则，请选中“激活防火墙”(Activate firewall) 复选框。将启用所需的服务。由于连接组态比手动设置的规则具有更高的优先级，将自动创建防火墙规 则。 说明 未检测到的 IPv4 数据包 V2.2和更高版本 防火墙不会检测到直接从 CP 转发到 PLC 的 IP 数据包。如果您要使用虚拟接口 W1，例如，用 于 OPCUA，则需要在 CP 的防火墙中手动启用所需的服务。 说明 gaoji防火墙模式中的详细防火墙设置在gaoji防火墙模式下，可对单个的节点设置防火墙规则。要切换到gaoji防火墙模式，请选中“在gaoji模式下激活防火墙”(Activate firewall in advanced mode) 复选框。 更新连接规则如果对 CP 的连接组态进行了更改，则也会更改与连接相关的防火墙规则。要显示修改的防 火墙规则，请单击“更新连接规则”(Updateconnection rules) 按钮。随后，会在gaoji防火墙 模式下显示经过修改的防火墙规则。使用预定义的防火墙规则组态防火墙 - CP 1543-1/CP 1543SP-1/CP 1545-1 使用预定义的 IP规则组态防火墙 如何访问该功能 1. 选择待编辑的模块。 2. 在本地安全设置中，选择“Firewall >Predefined IP rules”条目。默认模式下的日志设置与防火墙规则的关系 “预定义的 IP 规则”和“预定义的 MAC规则”中的日志设置不会影响因组态连接而自动创 建的防火墙规则。例如，这意味着不能记录属于已组态连接的通过隧道传输的帧。在gaoji防火墙模式中，可以将记录扩展到自动生成的连接防火墙规则中。 使用预定义的 IPv6 规则组态防火墙 含义 利用预定义的 IPv6规则，可以为使用 IPv6 的服务组态防火墙。在 CP 的本地安全设置中启 用预定义的 IPv6 规则后，防火墙中也启用了系统定义的ICMPv6 服务，该服务可在全局安全 功能的“ICMP”选项卡中的“Firewall > Services >Define services for IP rules”下看到。 如何访问该功能 1. 选择待编辑的模块。 2.在本地安全设置中选择“Firewall > Predefined IPv6rules”项。默认模式下的日志设置与防火墙规则的关系 “预定义的 IPv6规则”中的日志设置不会影响因组态连接而自动生成的防火墙规则。例如，这意味着不能记录属于已组态连接的通过隧道传输的帧。在gaoji防火墙模式中，可以将记录 扩展到自动生成的连接防火墙规则中。使用预定义的 MAC 规则组态防火墙 如何访问该功能 1. 选择待编辑的模块。 2. 选择“Firewall >Predefined MAC rules”条目。默认模式下的日志设置与防火墙规则的关系 “预定义的 IP 规则”和“预定义的 MAC规则”中的日志设置不会影响因组态连接而自动创 建的防火墙规则。例如，这意味着不能记录属于已组态连接的通过隧道传输的帧。在gaoji防火墙模式中，可以将记录扩展到自动生成的连接防火墙规则中。 使用预定义的防火墙规则组态防火墙 - S7-1200 CP 使用预定义的IP 规则组态防火墙 如何访问该功能 1. 选择待编辑的模块。 2. 在本地安全设置中，选择“Firewall >Predefined IP rules”条目。默认模式下的日志设置与防火墙规则的关系 “预定义的 IP 规则”和“预定义的 MAC规则”中的日志设置不会影响因组态连接而自动创 建的防火墙规则。例如，这意味着不能记录属于已组态连接的通过隧道传输的帧。在gaoji防火墙模式中，可以将记录扩展到自动生成的连接防火墙规则中。 使用预定义的 IPv6 规则组态防火墙 含义 利用预定义的 IPv6规则，可以为使用 IPv6 的服务组态防火墙。在支持 IPv6 的 S7-1200 CP 的 本地安全设置中启用预定义的 IPv6规则后，防火墙中也启用了系统定义的 ICMPv6 服务，该 服务可在全局安全功能的“ICMP”选项卡中的“Firewall >Services > Define services for IP rules” 下看到。