Commandes de script de pare-feu

Présentation

Cette section décrit la syntaxe des fichiers de script (par défaut ou dynamiques) à respecter pour qu'ils s'exécutent correctement au démarrage du contrôleur ou lors du déclenchement d'une commande particulière.

NOTE : Les règles de la couche MAC sont gérées séparément et sont prioritaires par rapport aux autres règles de filtrage de paquets.

Syntaxe des fichiers de script

La syntaxe des fichiers de script est décrite dans la section Consignes pour la syntaxe des scripts.

Commandes de pare-feu générales

Les commandes suivantes permettent de gérer le pare-feu Ethernet du M241 Logic Controller :

Commande

Description

Firewall Enable

Bloque les trames provenant des interfaces Ethernet. Si aucune adresse IP spécifique n'est autorisée, il n'est pas possible de communiquer sur les interfaces Ethernet.

NOTE : Par défaut, lorsque le pare-feu est activé, les trames sont rejetées.

Firewall Disable

Les règles de pare-feu ne s'appliquent pas. Les trames ne sont pas bloquées.

Firewall Ethx Default Allow (1)

Le contrôleur accepte toutes les trames.

Firewall Ethx Default Reject(1)

Le contrôleur rejette toutes les trames.

NOTE : En l'absence de cette ligne, la commande par défaut est Firewall Eth1 Default Reject.

(1) Où Ethx =

  • Eth1 : Ethernet_1

  • Eth2 : TM4ES4

Commandes de pare-feu spécifiques

Les commandes suivantes permettent de configurer les règles de pare-feu pour certains ports et certaines adresses :

Commande

Plage

Description

Firewall Eth1 Allow IP •.•.•.•

• = 0 à 255

Les trames provenant de l'adresse IP indiquée sont autorisées sur l'ensemble des ports, quel que soit leur type.

Firewall Eth1 Reject IP •.•.•.•

• = 0 à 255

Les trames provenant de l'adresse IP indiquée sont rejetées sur l'ensemble des ports, quel que soit leur type.

Firewall Eth1 Allow IPs •.•.•.• to •.•.•.•

• = 0 à 255

Les trames provenant des adresses IP de la plage indiquée sont autorisées sur l'ensemble des ports, quel que soit leur type.

Firewall Eth1 Reject IPs •.•.•.• to •.•.•.•

• = 0 à 255

Les trames provenant des adresses IP de la plage indiquée sont rejetées sur l'ensemble des ports, quel que soit leur type.

Firewall Eth1 Allow port_type port Y

Y = (numéro du port de destination)

Les trames avec le numéro de port de destination spécifié sont autorisées.

Firewall Eth1 Reject port_type port Y

Y = (numéro du port de destination)

Les trames avec le numéro de port de destination spécifié sont rejetées.

NOTE : Lorsque le transfert IP est activé, les règles contenant Reject Port filtrent uniquement les trames ayant pour destination le contrôleur actif. Elles ne s'appliquent pas aux trames routées par le contrôleur actif.

Firewall Eth1 Allow port_type ports Y1 to Y2

Y = (numéro du port de destination)

Les trames avec un numéro de port de destination appartenant à la plage indiquée sont autorisées.

Firewall Eth1 Reject port_type ports Y1 to Y2

Y = (numéro du port de destination)

Les trames avec un numéro de port de destination appartenant à la plage indiquée sont rejetées.

Firewall Eth1 Allow IP •.•.•.• on port_type port Y

• = 0 à 255

Y = (numéro du port de destination)

Les trames provenant de l'adresse IP spécifiée et avec le numéro de port de destination indiqué sont autorisées.

Firewall Eth1 Reject IP •.•.•.• on port_type port Y

• = 0 à 255

Y = (numéro du port de destination)

Les trames provenant de l'adresse IP spécifiée et avec le numéro de port de destination indiqué sont rejetées.

Firewall Eth1 Allow IP •.•.•.• on port_type ports Y1 to Y2

• = 0 à 255

Y = (numéro du port de destination)

Les trames provenant de l'adresse IP spécifiée et avec un numéro de port de destination appartenant à la plage indiquée sont autorisées.

Firewall Eth1 Reject IP •.•.•.• on port_type ports Y1 to Y2

• = 0 à 255

Y = (numéro du port de destination)

Les trames provenant de l'adresse IP spécifiée et avec un numéro de port de destination appartenant à la plage indiquée sont rejetées.

Firewall Eth1 Allow IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type port Y

• = 0 à 255

Y = (numéro du port de destination)

Les trames en provenance d'une adresse IP figurant dans la plage spécifiée et avec le numéro de port de destination indiqué sont autorisées.

Firewall Eth1 Reject IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type port Y

• = 0 à 255

Y = (numéro du port de destination)

Les trames provenant d'une adresse IP de la plage spécifiée et avec le numéro de port de destination indiqué sont rejetées.

Firewall Eth1 Allow IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type ports Y1 to Y2

• = 0 à 255

Y = (numéro du port de destination)

Les trames provenant d'une adresse IP de la plage spécifiée et avec un numéro de port de destination appartenant à la plage indiquée sont autorisées.

Firewall Eth1 Reject IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type ports Y1 to Y2

• = 0 à 255

Y = (numéro du port de destination)

Les trames provenant d'une adresse IP de la plage spécifiée et avec un numéro de port de destination appartenant à la plage indiquée sont rejetées.

Firewall Eth1 Allow MAC ••:••:••:••:••:••

• = 0 à F

Les trames provenant de l'adresse MAC spécifiée ••:••:••:••:•• sont autorisées.

NOTE : Lorsque les règles autorisant l'adresse MAC sont appliquées, seules les adresses MAC répertoriées peuvent communiquer avec le contrôleur, même si d'autres règles sont autorisées.

Firewall Eth1 Reject MAC ••:••:••:••:••:••

• = 0 à F

Les trames provenant de l'adresse MAC indiquée ••:••:••:••:•• sont rejetées.

NOTE : Le port_type peut être TCP ou UDP.

Exemple de script

; Enable FireWall. All frames are rejected;

FireWall Enable;

; Allow frames on Eth1

FireWall Eth1 Default Allow;

; Block all Modbus Requests on all IP address

Firewall Eth1 Reject tcp port 502;

; Reject frames on Eth2

FireWall Eth2 Default Reject;

; Allow Fast TCP on interface ETH1. This allow to connect to the controller using TCP

Firewall Eth1 Allow TCP port 1105;

; Allow FTP active connection for IP address 85.16.0.17

FireWall Eth2 Allow IP 85.16.0.17 on tcp ports 20 to 21;

NOTE : Les adresses IP sont converties en format CIDR.

Exemple :

"FireWall Eth2 Allow IPs 192.168.100.66 to 192.168.100.99 on tcp port 44818;" est divisé en 7 membres :

  • 192.168.100.66/31

  • 192.168.100.68/30

  • 192.168.100.72/29

  • 192.168.100.80/28

  • 192.168.100.96/27

  • 192.168.100.128/26

  • 192.168.100.192/29

Pour éviter une erreur de pare-feu, utilisez la configuration de sous-réseau intégrale.

NOTE : Les caractères sont limités à 200 par ligne, commentaires inclus.

Ports utilisés

Protocole

Numéros de ports de destination

Machine Expert

UDP 1740, 1741, 1742, 1743

TCP 1105

FTP

TCP 21

HTTP / HTTPS

TCP 80, 443 (serveur Web)

TCP 8080 (visualisation Web)

Modbus

TCP 502 (1)

OPC UA

TCP 4840

Découverte Machine Expert

UDP 27126, 27127

SNMP

UDP 161, 162

NVL

Valeur par défaut UDP : 1202

EtherNet/IP

UDP 2222

TCP 44818

TFTP

UDP 69 (utilisé pour le serveur FDR uniquement)

(1) Vous pouvez modifier la valeur par défaut à l'aide de la commande changeModbusPort.