Skriptbefehle für die Firewall

Überblick

In diesem Abschnitt wird beschrieben, wie Skriptdateien (Standardskriptdateien oder dynamische Skriptdateien) geschrieben werden müssen, damit sie beim Start der Steuerung bzw. bei einem bestimmten ausgelösten Befehl korrekt ausgeführt werden können.

HINWEIS: Die Regeln der MAC-Schicht werden separat verwaltet und haben höhere Priorität als die übrigen Paketfilterregeln.

Syntax einer Skriptdatei

Die Syntax von Skriptdateien wird in den Richtlinien für die Skriptsyntax beschrieben.

Allgemeine Firewallbefehle

Für die Verwaltung der Ethernet-Firewall des M241 Logic Controller sind folgende Befehle verfügbar:

Befehl

Beschreibung

Firewall Enable

Blockiert die Frames von den Ethernet-Schnittstellen. Wenn keiner bestimmten IP-Adresse entsprechende Berechtigungen zugewiesen werden, ist eine Kommunikation über die Ethernet-Schnittstellen nicht möglich.

HINWEIS: Standardmäßig werden die Frames bei aktivierter Firewall abgewiesen.

Firewall Disable

Firewall-Regeln werden nicht angewendet. Frames werden nicht blockiert.

Firewall Ethx Default Allow(1)

Frames werden von der Steuerung angenommen.

Firewall Ethx Default Reject(1)

Frames werden von der Steuerung abgewiesen.

HINWEIS: Wenn diese Zeile nicht vorhanden ist, wird standardmäßig der Befehl Firewall Eth1 Default Reject verwendet.

(1) Hierbei gilt: Ethx =

  • Eth1: Ethernet_1

  • Eth2: TM4ES4

Spezifische Firewallbefehle

Für die Konfiguration der Firewallregeln für bestimmte Ports und Adressen sind folgende Befehle verfügbar:

Befehl

Bereich

Beschreibung

Firewall Eth1 Allow IP •.•.•.•

• = 0 bis 255

Die Frames von den genannten IP-Adressen sind für alle Portnummern und Porttypen zugelassen.

Firewall Eth1 Reject IP •.•.•.•

• = 0 bis 255

Die Frames von den genannten IP-Adressen werden für alle Portnummern und Porttypen abgewiesen.

Firewall Eth1 Allow IPs •.•.•.• to •.•.•.•

• = 0 bis 255

Die Frames von den IP-Adressen im genannten Bereich sind für alle Portnummern und Porttypen zugelassen.

Firewall Eth1 Reject IPs •.•.•.• to •.•.•.•

• = 0 bis 255

Die Frames von den IP-Adressen im genannten Bereich werden für alle Portnummern und Porttypen abgewiesen.

Firewall Eth1 Allow port_type port Y

Y = (Zielportnummern)

Die Frames mit der genannten Zielportnummer sind zugelassen.

Firewall Eth1 Reject port_type port Y

Y = (Zielportnummern)

Die Frames mit der genannten Zielportnummer werden zurückgewiesen.

HINWEIS: Wenn die IP-Weiterleitung aktiviert ist, filtern Regeln mit Reject-Port (Zurückweisungsport) nur Frames mit aktueller Steuerung als Ziel. Sie werden nicht auf die von der aktuellen Steuerung weitergeleiteten Frames angewendet.

Firewall Eth1 Allow port_type ports Y1 to Y2

Y = (Zielportnummern)

Die Frames mit einer Zielportnummer im genannten Bereich sind zugelassen.

Firewall Eth1 Reject port_type ports Y1 to Y2

Y = (Zielportnummern)

Die Frames mit einer Zielportnummer im genannten Bereich werden abgewiesen.

Firewall Eth1 Allow IP •.•.•.• on port_type port Y

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von der genannten IP-Adresse und mit der genannten Zielportnummer sind zugelassen.

Firewall Eth1 Reject IP •.•.•.• on port_type port Y

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von der genannten IP-Adresse und mit der genannten Zielportnummer werden abgewiesen.

Firewall Eth1 Allow IP •.•.•.• on port_type ports Y1 to Y2

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von der genannten IP-Adresse und mit einer Zielportnummer im genannten Bereich sind zugelassen.

Firewall Eth1 Reject IP •.•.•.• on port_type ports Y1 to Y2

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von der genannten IP-Adresse und mit einer Zielportnummer im genannten Bereich werden abgewiesen.

Firewall Eth1 Allow IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type port Y

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von einer IP-Adresse im genannten Bereich und mit der genannten Zielportnummer werden zugelassen.

Firewall Eth1 Reject IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type port Y

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von einer IP-Adresse im genannten Bereich und mit der genannten Zielportnummer werden abgewiesen.

Firewall Eth1 Allow IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type ports Y1 to Y2

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von einer IP-Adresse im genannten Bereich und mit einer Zielportnummer im genannten Bereich sind zugelassen.

Firewall Eth1 Reject IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type ports Y1 to Y2

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von einer IP-Adresse im genannten Bereich und mit einer Zielportnummer im genannten Bereich werden abgewiesen.

Firewall Eth1 Allow MAC ••:••:••:••:••:••

• = 0...F

Die Frames von der genannten MAC-Adresse ••:••:••:••:•• sind zugelassen.

HINWEIS: Wenn Zulassungsregeln für MAC-Adressen angewendet werden, können nur die aufgelisteten MAC-Adressen mit der Steuerung kommunizieren, auch wenn andere Regeln zulässig sind.

Firewall Eth1 Reject MAC ••:••:••:••:••:••

• = 0...F

Die Frames mit der genannten MAC-Adresse ••:••:••:••:•• werden abgewiesen.

HINWEIS: Der Parameter port_type kann TCP oder UDP sein.

Beispiel für ein Skript

; Enable FireWall. All frames are rejected;

FireWall Enable;

; Allow frames on Eth1

FireWall Eth1 Default Allow;

; Block all Modbus Requests on all IP address

Firewall Eth1 Reject tcp port 502;

; Reject frames on Eth2

FireWall Eth2 Default Reject;

; Allow Fast TCP on interface ETH1. This allow to connect to the controller using TCP

Firewall Eth1 Allow TCP port 1105;

; Allow FTP active connection for IP address 85.16.0.17

FireWall Eth2 Allow IP 85.16.0.17 on tcp ports 20 to 21;

HINWEIS: IP-Adressen werden in das CIDR-Format konvertiert.

Beispiel:

"FireWall Eth2 Allow IPs 192.168.100.66 to 192.168.100.99 on tcp port 44818;", wird in 7 Teile untergliedert:

  • 192.168.100.66/31

  • 192.168.100.68/30

  • 192.168.100.72/29

  • 192.168.100.80/28

  • 192.168.100.96/27

  • 192.168.100.128/26

  • 192.168.100.192/29

Um einen Firewall-Fehler zu vermeiden, verwenden Sie die gesamte Subnetzkonfiguration.

HINWEIS: Es sind maximal 200 Zeichen pro Zeile gestattet, einschließlich Kommentare.

Verwendete Ports

Protokoll

Zielportnummern

Machine Expert

UDP 1740, 1741, 1742, 1743

TCP 1105

FTP

TCP 21

HTTP / HTTPS

TCP 80, 443 (Webserver)

TCP 8080 (Web-Visualisierung)

Modbus

TCP 502 (1)

OPC UA

TCP 4840

Machine Expert Discovery

UDP 27126, 27127

SNMP

UDP 161, 162

NVL

UDP-Standardwert: 1202

EtherNet/IP

UDP 2222

TCP 44818

TFTP

UDP 69 (nur für FDR-Server verwendet)

(1) Der Standardwert kann über den ModbusPort-Änderungsbefehl geändert werden.