Skriptbefehle für die Firewall

Überblick

In diesem Abschnitt wird beschrieben, wie Skriptdateien (Standardskriptdateien oder dynamische Skriptdateien) geschrieben werden müssen, damit sie beim Start der Steuerung bzw. bei einem bestimmten ausgelösten Befehl korrekt ausgeführt werden können.

HINWEIS: Die Regeln der MAC-Schicht werden separat verwaltet und haben höhere Priorität als die übrigen Paketfilterregeln.

Syntax einer Skriptdatei

Die Syntax von Skriptdateien wird in den Richtlinien für die Skriptsyntax beschrieben.

Allgemeine Firewallbefehle

Für die Verwaltung der Ethernet-Firewall des M251 Logic Controller sind folgende Befehle verfügbar:

Befehl

Beschreibung

Firewall Enable

Blockiert die Frames von den Ethernet-Schnittstellen. Wenn keine spezifische IP-Adresse autorisiert ist, ist keine Kommunikation über die Ethernet-Schnittstellen möglich.

HINWEIS: Standardmäßig werden die Frames bei aktivierter Firewall abgewiesen.

Firewall Disable

Firewallregeln werden nicht angewendet. Frames werden nicht blockiert.

Firewall Ethx Default Allow (1)

Frames werden von der Steuerung angenommen.

Firewall Ethx Default Reject(1)

Frames werden von der Steuerung abgewiesen.

HINWEIS: Wenn diese Zeile nicht vorhanden ist, entspricht sie standardmäßig dem Befehl Firewall Eth1 Default Reject.

(1) Hierbei gilt: Ethx =

Für TM251MESC:

  • Eth1: Ethernet_1

Für TM251MESE:

  • Eth1: Ethernet_1

  • Eth2: Ethernet_2

Spezifische Firewallbefehle

Für die Konfiguration der Firewallregeln für bestimmte Ports und Adressen sind folgende Befehle verfügbar:

Befehl

Bereich

Beschreibung

Firewall Eth1 Allow IP •.•.•.•

• = 0 bis 255

Die Frames von den genannten IP-Adressen sind für alle Portnummern und Porttypen zugelassen.

Firewall Eth1 Reject IP •.•.•.•

• = 0 bis 255

Die Frames von den genannten IP-Adressen werden für alle Portnummern und Porttypen abgewiesen.

Firewall Eth1 Allow IPs •.•.•.• to •.•.•.•

• = 0 bis 255

Die Frames von den IP-Adressen im genannten Bereich sind für alle Portnummern und Porttypen zugelassen.

Firewall Eth1 Reject IPs •.•.•.• to •.•.•.•

• = 0 bis 255

Die Frames von den IP-Adressen im genannten Bereich werden für alle Portnummern und Porttypen zurückgewiesen.

Firewall Eth1 Allow port_type port Y

Y = (Zielportnummern)

Die Frames mit der genannten Zielportnummer sind zugelassen.

Firewall Eth1 Reject port_type port Y

Y = (Zielportnummern)

Die Frames mit der genannten Zielportnummer werden zurückgewiesen.

HINWEIS: Wenn die IP-Weiterleitung aktiviert ist, filtern Regeln mit Reject-Port (Zurückweisungsport) nur Frames mit der aktuellen Steuerung als Ziel. Sie werden nicht auf die von der aktuellen Steuerung weitergeleiteten Frames angewendet.

Firewall Eth1 Allow port_type ports Y1 to Y2

Y = (Zielportnummern)

Die Frames mit einer Zielportnummer im genannten Bereich sind zugelassen.

Firewall Eth1 Reject port_type ports Y1 to Y2

Y = (Zielportnummern)

Die Frames mit einer Zielportnummer im genannten Bereich werden zurückgewiesen.

Firewall Eth1 Allow IP •.•.•.• on port_type port Y

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von der genannten IP-Adresse und mit der genannten Zielportnummer sind zugelassen.

Firewall Eth1 Reject IP •.•.•.• on port_type port Y

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von der genannten IP-Adresse und mit der genannten Zielportnummer werden zurückgewiesen.

Firewall Eth1 Allow IP •.•.•.• on port_type ports Y1 to Y2

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von der genannten IP-Adresse und mit einer Zielportnummer im genannten Bereich sind zugelassen.

Firewall Eth1 Reject IP •.•.•.• on port_type ports Y1 to Y2

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von der genannten IP-Adresse und mit einer Zielportnummer im genannten Bereich werden zurückgewiesen.

Firewall Eth1 Allow IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type port Y

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von einer IP-Adresse im genannten Bereich und mit der genannten Zielportnummer sind zugelassen.

Firewall Eth1 Reject IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type port Y

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von einer IP-Adresse im genannten Bereich und mit der genannten Zielportnummer werden zurückgewiesen.

Firewall Eth1 Allow IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type ports Y1 to Y2

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von einer IP-Adresse im genannten Bereich und mit einer Zielportnummer im genannten Bereich sind zugelassen.

Firewall Eth1 Reject IPs •1.•1.•1.•1 to •2.•2.•2.•2 on port_type ports Y1 to Y2

• = 0 bis 255

Y = (Zielportnummern)

Die Frames von einer IP-Adresse im genannten Bereich und mit einer Zielportnummer im genannten Bereich werden zurückgewiesen.

Firewall Eth1 Allow MAC ••:••:••:••:••:••

• = 0 bis F

Die Frames von der genannten MAC-Adresse ••:••:••:••:•• sind zugelassen.

HINWEIS: Wenn Zulassungsregeln für MAC-Adressen angewendet werden, können nur die aufgelisteten MAC-Adressen mit der Steuerung kommunizieren, auch wenn andere Regeln zulässig sind.

Firewall Eth1 Reject MAC ••:••:••:••:••:••

• = 0 bis F

Die Frames mit der genannten MAC-Adresse ••:••:••:••:•• werden zurückgewiesen.

HINWEIS: Der port_type kann TCP oder UDP sein.

Beispiel für ein Skript

; Enable FireWall. All frames are rejected;

FireWall Enable;

; Allow frames on Eth1

FireWall Eth1 Default Allow;

; Block all Modbus Requests on all IP address

Firewall Eth1 Reject tcp port 502;

; Reject frames on Eth2

FireWall Eth2 Default Reject;

; Allow Fast TCP on interface ETH1. This allow to connect to the controller using TCP

Firewall Eth1 Allow TCP port 11740;

; Allow FTP active connection for IP address 85.16.0.17

FireWall Eth2 Allow IP 85.16.0.17 on tcp ports 20 to 21;

HINWEIS: IP-Adressen werden in das CIDR-Format konvertiert.

Beispiel:

"FireWall Eth2 Allow IPs 192.168.100.66 to 192.168.100.99 on tcp port 44818;", wird in 7 unterteilt:

  • 192.168.100.66/31

  • 192.168.100.68/30

  • 192.168.100.72/29

  • 192.168.100.80/28

  • 192.168.100.96/27

  • 192.168.100.128/26

  • 192.168.100.192/29

Um einen Firewallfehler zu vermeiden, verwenden Sie die gesamte Subnetzkonfiguration.

HINWEIS: Es sind maximal 200 Zeichen pro Zeile gestattet, einschließlich Kommentare.

Verwendete Ports

Protokoll

Zielportnummern

Machine Expert

UDP 1740, 1741, 1742, 1743

TCP 1105, 11740 (Fast TCP)

FTP

TCP 21

HTTP / HTTPS

TCP 80, 443 (Webserver)

TCP 8080 (Webvisualisierung)

Modbus

TCP 502 (1)

OPC UA

TCP 4840

DHCP

UDP 67 (Server), 68 (Client)

Machine Expert Discovery

UDP 27126, 27127

SNMP

UDP 161, 162

NVL

UDP-Standardwert: 1202

EtherNet/IP

UDP 2222

TCP 44818

TFTP

UDP 69 (nur für FDR-Server verwendet)

(1) Der Standardwert kann über den ModbusPort-Änderungsbefehl geändert werden.