Comandi di script del firewall

Panoramica

In questa sezione viene descritto come vengono scritti i file di script (file di script predefiniti o file di script dinamici) in modo che possano essere eseguiti durante l'avvio del controller o durante l'attivazione di un comando specifico.

NOTA: Le regole di stratificazione MAC vengono gestite separatamente e hanno una priorità maggiore rispetto alle altre regole di filtro pacchetto.

Sintassi del file di script

La sintassi dei file di script è descritta in Linee guida di sintassi script.

Comandi generici del firewall

I comandi seguenti sono disponibili per la gestione del firewall Ethernet del M241 Logic Controller:

Comando

Descrizione

Firewall Enable

Blocca i frame dalle interfacce Ethernet. Se non è autorizzato alcun indirizzo IP specifico, non è possibile comunicare sulle interfacce Ethernet.

NOTA: Per impostazione predefinita, quando il firewall è attivato, vengono rifiutati i frame.

Firewall Disable

Le regole del firewall non sono applicate. I frame non sono bloccati.

Firewall Ethx Default Allow(1)

I frame vengono accettati dal controller.

Firewall Ethx Default Reject(1)

I frame vengono rifiutati dal controller.

NOTA: Per impostazione predefinita, se questa riga non è presente, corrisponde al comando Firewall Eth1 Default Reject.

(1)Dove Ethx =

  • Eth1: Ethernet_1

  • Eth2: TM4ES4

Comandi specifici del firewall

I comandi seguenti sono disponibili per configurare le regole del firewall per indirizzi e porte specifiche:

Comando

Intervallo

Descrizione

Firewall Eth1 Allow IP •.•.•.•

• = 0 - 255

I frame provenienti dall'indirizzo IP specificato sono consentiti su tutti i numeri di porte e i tipi di porte.

Firewall Eth1 Reject IP •.•.•.•

• = 0 - 255

I frame provenienti dall'indirizzo IP specificato sono rifiutati su tutti i numeri di porte e i tipi di porte.

Firewall Eth1 Allow IPs •.•.•.• to •.•.•.•

• = 0 - 255

I frame provenienti dagli indirizzi IP nell'intervallo specificato sono consentiti per tutti i numeri di porte e i tipi di porte.

Firewall Eth1 Reject IPs •.•.•.• to •.•.•.•

• = 0 - 255

I frame provenienti dagli indirizzi IP nell'intervallo specificato sono rifiutati per tutti i numeri di porte e i tipi di porte.

Firewall Eth1 Allow port_type port Y

Y = (numeri della porta di destinazione)

I frame con il numero della porta di destinazione specificato sono consentiti.

Firewall Eth1 Reject port_type port Y

Y = (numeri della porta di destinazione)

I frame con il numero della porta di destinazione specificato sono rifiutati.

NOTA: Quando l'inoltro IP è attivato, le regole con rifiuto di porte filtrano solo frame con il controller corrente come destinazione. Non sono applicate per i frame instradati dal controller corrente.

Firewall Eth1 Allow port_type ports Y1 to Y2

Y = (numeri della porta di destinazione)

I frame con un numero della porta di destinazione nell'intervallo specificato sono consentiti.

Firewall Eth1 Reject port_type ports Y1 to Y2

Y = (numeri della porta di destinazione)

I frame con un numero della porta di destinazione nell'intervallo specificato sono rifiutati.

Firewall Eth1 Allow IP •.•.•.• on port_type port Y

• = 0 - 255

Y = (numeri della porta di destinazione)

I frame provenienti dall'indirizzo IP specificato e con il numero della porta di destinazione specificato sono consentiti.

Firewall Eth1 Reject IP •.•.•.• on port_type port Y

• = 0 - 255

Y = (numeri della porta di destinazione)

I frame provenienti dall'indirizzo IP specificato e con il numero della porta di destinazione specificato sono rifiutati.

Firewall Eth1 Allow IP •.•.•.• on port_type ports Y1 to Y2

• = 0 - 255

Y = (numeri della porta di destinazione)

I frame provenienti dall'indirizzo IP specificato e con un numero della porta di destinazione nell'intervallo specificato sono consentiti.

Firewall Eth1 Reject IP •.•.•.• on port_type ports Y1 to Y2

• = 0 - 255

Y = (numeri della porta di destinazione)

I frame provenienti dall'indirizzo IP specificato e con un numero della porta di destinazione nell'intervallo specificato sono rifiutati.

Firewall Eth1 Allow IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type port Y

• = 0 - 255

Y = (numeri della porta di destinazione)

I frame provenienti da un indirizzo IP nell'intervallo specificato e con il numero di porta di destinazione specificato sono consentiti.

Firewall Eth1 Reject IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type port Y

• = 0 - 255

Y = (numeri della porta di destinazione)

I frame provenienti da un indirizzo IP nell'intervallo specificato e con il numero di porta di destinazione specificato sono rifiutati.

Firewall Eth1 Allow IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type ports Y1 to Y2

• = 0 - 255

Y = (numeri della porta di destinazione)

I frame provenienti da un indirizzo IP nell'intervallo specificato e con il numero di porta di destinazione nell'intervallo specificato sono consentiti.

Firewall Eth1 Reject IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type ports Y1 to Y2

• = 0 - 255

Y = (numeri della porta di destinazione)

I frame provenienti da un indirizzo IP nell'intervallo specificato e con il numero di porta di destinazione nell'intervallo specificato sono rifiutati.

Firewall Eth1 Allow MAC ••:••:••:••:••:••

• = 0 - F

I frame provenienti dall'indirizzo MAC ••:••:••:••:•• specificato sono consentiti.

NOTA: Quando vengono applicate le regole che consentono l’indirizzo MAC, solo gli indirizzi MAC elencati possono comunicare con il controller, anche se altre regole lo consentono.

Firewall Eth1 Reject MAC ••:••:••:••:••:••

• = 0 - F

I frame provenienti dall'indirizzo MAC ••:••:••:••:•• specificato sono rifiutati.

NOTA: port_type può essere TCP o UDP.

Esempio di script

; Enable FireWall. All frames are rejected;

FireWall Enable;

; Allow frames on Eth1

FireWall Eth1 Default Allow;

; Block all Modbus Requests on all IP address

Firewall Eth1 Reject tcp port 502;

; Reject frames on Eth2

FireWall Eth2 Default Reject;

; Allow Fast TCP on interface ETH1. This allow to connect to the controller using TCP

Firewall Eth1 Allow TCP port 1105;

; Allow FTP active connection for IP address 85.16.0.17

FireWall Eth2 Allow IP 85.16.0.17 on tcp ports 20 to 21;

NOTA: Gli indirizzi IP vengono convertiti in formato CIDR.

Ad esempio:

"FireWall Eth2 Allow IPs 192.168.100.66 to 192.168.100.99 on tcp port 44818;", è separato in 7:

  • 192.168.100.66/31

  • 192.168.100.68/30

  • 192.168.100.72/29

  • 192.168.100.80/28

  • 192.168.100.96/27

  • 192.168.100.128/26

  • 192.168.100.192/29

Per impedire un errore del firewall, utilizzare l'intera configurazione della sotto rete.

NOTA: I caratteri sono limitati a 200 per riga, compresi i commenti.

Porte utilizzate

Protocollo

Numeri porta di destinazione

Machine Expert

UDP 1740, 1741, 1742, 1743

TCP 1105

FTP

TCP 21

HTTP / HTTPS

TCP 80, 443 (server Web)

TCP 8080 (visualizzazione Web)

Modbus

TCP 502 (1)

OPC UA

TCP 4840

Machine Expert Discovery

UDP 27126, 27127

SNMP

UDP 161, 162

NVL

Valore predefinito UDP: 1202

EtherNet/IP

UDP 2222

TCP 44818

TFTP

UDP 69 (utilizzato solo per server FDR)

(1) È possibile cambiare il valore predefinito con il comando ModbusPort.