n

1．系统概述n

对生产设备的远程诊断和远程维护已经成为当前自动化技术中一部分。尤其是对于那些错误容易诊断且容易移除的情况，配一个服务工程师到现场解决，即增加工程师的工作负荷，由花费时间，而且相应的费用也增加。对于那些偏远的工厂或战争频发的的地区，利用当今的无线技术进行远程的维护，显然是一个即经济又有效的解决方案。n

本文介绍的配置方案是通过安全的基于WCDMA或者EDGE的Internet的连接对远程的分布的S7站进行访问。远程的SIMATIC站是通过Ethernet接口（S7-CPU, HMI设备，以太网CP卡）通过无线的传输介质连接到中心服务站；中心服务站的PG/PC通过此连接可以执行基于有电缆连接的那些编程的功能（例如标准的诊断功能，上载和下载程序等）。n

图 1中心站与远程S7站分布图n

此方案的实现是由SIMATIC的主要部件3G/UMTS路由器SCALANCE M875和中心站的安全模块SCALANCE S612。该方案的优势在于利用3G网络（中国联通的WCDMA）网络的高速性，在这两个模块之间建立一个基于IPSEC的VPN隧道，中心站是通过ADSL连接到Internet，远程站是通过WCDMA或者EDGE（无WCDMA信号时）连接到Internet，下图是实现此方案的配置的示意图：n

图 2本例的系统构成n

SCALANCE M875主要技术参数如下所示：n

供电电压：DC24Vn

自带2端口10/100M自适应交换机n

最大数据传输速率：n

GPRS：下行/最大 85.6kbit/s；上行/最大 42.8 kbit/sn

EDGE：下行/最大236.8kbit/s；上行/最大 118 kbit/sn

UMTS：下行/最大14.4Mbit/s；上行/最大5.76 Mbit/sn

工作频段：n

GPRS: 850 MHz, 900 MHz, 1800 MHz or 1900 MHzn

UMTS: 850 MHz, 1700 MHz, 1900 MHz or 2100 MHzn

天线接口：SMA（天线需另行采购）n

SCALANCE M875外观示意图如下：n

图 3 SCALANCE M875外形图n

DC5V, VPN, IN, OUT LED指示灯n

用于连接本地网络的2端口交换机"X2P1"和 "X2P2"，RJ-45接口，各带2个LED。n

IN端口和OUT端口接线端子(设备底部)n

X1, USB接口 (当前此接口无用)n

"A2"天线接口，SMA型 (仅用于连接第二个天线，需增强信号时用)n

LED状态指示灯 S, Q, Cn

"A1"天线接口，SMA型 (用于连接首个天线)n

复位按钮n

外部供电电源端子 (设备顶部)n

2.安装

下面是各站的硬件安装示意图n

中心服务站

图 4中心站系统构成n

中心站包含有标准的PC/PG，通过PC的以太网接口连接到SCALANCE S612的内网口port1，外网口连接路由器，路由器的WAN口连接ADSL Modem。n

远程站

图 5远程站系统构成n

3.需要的软件及硬件

SIMATIC 部件

安全部件及软件

软件

网络部件

上Internet所需部件

4.VPN的配置步骤

系统网络示意图如下所示，为了简化对于自动化单元这里只以一个PLC站为例介绍。其它PLC站的配置方法与此PLC站的配置类似。而且下图用标号来指示设置的步骤。n

图 6配置步骤图n

①首先需要设置的是路由器：设定路由器上Internet获得公网的固定的IP地址，并设置路由器VPN的协议包可以通过，而且要设置路由器的端口转发机制，这样使的从外网发到路由器的VPN的数据包能够被转发到内网的SCALANCE S612的外网的端口上。n

②设置PG/PC：在PG/PC上安装STEP7软件，并设置计算机的IP地址和PLC的IP地址在同一个网段上。n

③设置PLC站：用以太网线把PG/PC直接连接到PLC站，然后给PLC站分配IP地址，并对PLC站进行硬件组态，并下载程序。n

④配置SCALANCE S612：首先需要把PG/PC上的以太网线插到SCALANCE S612的外网口，并把计算机的IP地址重新设置，地址应与SCALANCE S612在同一个网段上，然后用SCALANCE S612配置工具软件Security Configuration Tool对SCALANCE S612进行组态。n

⑤配置SCALANCE M875，设置SCALANCE M875上Internet的所需的参数，并配置VPN的参数，使其能够与SCALANCE S612之间建立VPN的通讯。n

详细的配置过程如下，配置之前，先对整个系统的IP地址进行分配，如下表：n

注意：SCALANCE S模块的内网 IP地址必须处于不同的 IP子网。n

①、设置路由器：n

在本文中我们选择了Linksys的一款型号为BEFSX41的路由器。为了配置路由器先设置计算机的IP地址为10.65.109.X网段。将网线连接至路由器的局域网口，在IE浏览器中输入路由器的的IP地址，例如：10.65.109.133，键入用户名和密码（默认均为“admin”）即可进入路由器的配置界面。n

图 7ADSL路由器登陆界面n

在“SetupàBasic SetupàInternet”下，选择以太网连接类型：PPPoE，用户名和密码是用户所申请的ADSL的用户名和密码，并且选择“Keep Alive”选项。这样，路由器即可自动通过ADSL的账户登陆互联网。通过“Local IP Address”可更改路由器的IP地址，这里是10.65.109.133与我们分配的IP地址一致，所以不需要更改。而且在这里我们不使能“Local DHCP Server”。 设置完成后注意“Save Setting”如下图:n

图 8ADSL路由器基本参数设置n

保存了上面的设置后，查看一下路由器是否正常登陆到Internet，若登陆正常，就会从网络服务供应商那里获得一公网的IP地址（这里我们需要公网的固定IP地址，这个IP地址需要在SCALANCE M875中设置，使SCALANCE M875向此IP地址的设备发起VPN的连接请求，若是动态IP地址，那么当路由的地址发生了变化，就需要重新对SCALANCE M875及SCALANCE S612组态）。查看此路由器是否正常登陆到Internet的步骤是点击路由器配置页面上的“Status”选项，若正常登陆，就会在此页面中看到它获得的公网IP地址、子网掩码、网关地址、域名服务器的地址。如下图：n

图 9ADSL拨号成功n

路由器正常登陆公网后，接下来需要配置一下对VPN协议数据包的处理，首先需要使能VPN PASS-Through的功能（即让VPN的数据包能够通过此路由器进入到内网中），选择“Security”下的“VPN”选项，然后在IPSec Pass-Through后选择“Enabled”选项。参数设置如下图：n

图 10使能IPSec穿透n

为了让从外网上发到路由器的数据能进入到内网的SCALANCE S612的端口上，所以需要设置一下端口的转发机制:选择“Application & Gaming”下的“Port Range Forwarding”标签卡，在里面把发到路由器上端口为4500及500应用数据转发到SCALANCE S612的外网IP地址。n

图 11设置端口转发n

到此，我们就完成了对路由器的所有配置。n

②、设置PG/PC：n

此步需要在计算机上安装Step7软件及SCALANCE S612的配置工具Security Configuration Tool。具体的安装步骤我们在这里就不再作更详细的描述。n

③、设置PLC站：n

在配置PLC站前，首先需要把计算机的IP地址进行重新设置，这里我们给计算机分配的IP地址为192.168.5.X，即与PLC IP地址192.168.5.2在同一个网段。配置完计算机的IP地址后，就需要给PLC分配IP地址。首先需要在控制面板的SET PG/PC里把编程接口修改为以太网，如下图：n

图 12设置PG/PC接口n

然后打开SIMATIC Manager，在PLC的菜单下选择Edit Ethernet Node…如下图：n

图 13编辑以太网节点n

选择完Edit Ethernet Node…后会弹出如下的窗口：n

图 14查找以太网节点n

点击Browse..进行对PLC的以太网接口的查找，如下图：n

图 15找到的节点n

选择上面出现的以太网接口，点击OK按钮，设置PLC的IP地址如下，并且为PLC设置路由的IP地址。n

图 16为PLC分配IP地址n

点击 Assign IP Configuration按钮，这样完成了对PLC IP地址的设置。n

然后在SIMATIC Manager里插入一个300站，在300站的硬件组态里插入机架及对应的型号的300 CPU，编译下载即可。n

注意：在插入CPU后，需要把CPU的集成以太网接口的IP地址也设置成192.168.5.2；子网掩码255.255.255.0。并选择Use Router，并设置路由器的IP地址为192.168.5.1（因为SCALANCE M875是300 PLC的网关，所以此地址为SCALANCE M875的内网IP地址）n

图 17在硬件配置界面为PLC设置网络参数n

④、配置SCALANCE S612n

配置SCALANCE S612之前，需要连接计算机的以太网线到SCALANCE S612的外网口上，并把SCALANCE S612恢复出厂设置。并将计算机的IP地址与SCALANCE S612的外网口设置在同一网段上。n

然后打开SCALANCE S612的配置工具SCT，如下图：n

图 18打开SCTn

选择Project下的New，新建一个项目，会弹出一个项目的用户名及密码设置的窗口，输入用户名和密码后，点击弹出如下界面，为SCALANCE S612设置外网口和内网口IP地址、子网掩码、MAC地址等信息。注意：SCT配置中的SCALANCE S612的MAC地址必须与实际的MAC地址一致，否则SCALANCE S612的配置文件无法下载；且计算机的IP地址与SCALANCE S612的外网口的IP地址必须在同一个网段，否则SCALANCE S612的配置也无法下载。n

图 19添加一个S612n

设置完后，点“OK”确认，再插入一个新设备，这次选择设备类型为SCALANCE M87X/MD74X，进行如下图所示的参数设置：n

图 20添加一个M875n

新建一个VPN的组，通过拖拽的方式，把这两个模块添加到这个组下，如下图：n

图 21将S612 与M875分配到一个VPN组内n

设置路由模式如下：n

图 22设置S612的路由地址n

双击SCALANCE S612模块，配置VPN的参数如下：n

图 23 S612 VPN设置n

在Permission to initial the coection选择为 Wait for partner；WAN IP address设置为路由器的公网IP地址，如：222.128.29.196；之后保存项目并下载配置到SCALANCE S612，如下图：n

图 24下载配置文件n

然后选择SCALANCE M875，点击下载按钮，保存SCALANCE M875需要的证书文件，如下图所示，需要注意在保存过程中，需输入证书密码，该密码在装载证书到SCALANCE M875时会用到。n

图 25保存证书文件n

到此完成了对SCALANCE S612的配置及证书文件的生成。n

⑤、配置SCALANCE M875:n

SCALANCE M875的出厂设置的IP地址为192.168.1.1，该IP地址与我们的IP地址分配不符，所以必须修改其IP地址为192.168.5.1。方法如下：n

首先设置计算机的IP地址为192.168.1.X网段，然后打开IE浏览器，在IE浏览器中输入https://192.168.1.1，如下图所示：n

图 26打开M875配置界面n

输入用户名：admin；密码（缺省）：scalance，进入到SCALANCE M875的配置界面：n

图 27输入M875访问密码n

选择左面导航栏中Local Network，修改IP地址为：192.168.5.1，点击Save按钮，后关闭IE浏览器。n

图 28修改M875 IP地址n

重新设置计算机的IP地址到192.168.5.X网段，然后重新打开IE浏览器，在IE浏览器中输入https://192.168.5.1，再次打开SCALANCE M875配置界面。点击左面导航栏的External Network下的UMTS/EDGE，配置接入Internet的参数，首先将设备中已有的配置全部删除，然后新建如下3组参数设置，其中名为“ChinaMobile”的参数为中国移动的参数设置，另外2个为中国联通的参数设置，其中Password为空：n

图 29设置M875上网参数n

配置完后点击SAVE按钮保存设置。配置完后查看SCALANCE M875是否接入到Internet上，若接入，则在左面得导航栏里的Overview显示如下图:

图 30 M875系统状态n

配置完公网接口后，需要配置VPN的参数，配置步骤如下：n

点击左面导航栏中的IPSec VPN下的Certificates，在右面的窗口中加载证书文件（图 25生成的证书文件），并注意加载证书时*.P12文件时需要输入生成证书时的密码，如下图：n

图 31证书导入n

把所有的证书加载后，出现下面得画面后，表示已成功加载证书文件；n

图 32证书导入结束n

加载证书后，需要配置VPN的连接，点击点击左面导航栏中的IPSec VPN下的Coections，在出现的右面的窗口中的VPN coections in standard mode使能一个连接，如下图：n

图 33使能VPN连接n

然后再点击Coection settings下的Edit按钮，根据导出证书时生成的*.txt文件，检查和配置连接参数并保存，如下图：n

图 34设置M875 VPN连接参数n

然后再点击IKE settings下的Edit按钮，根据导出证书时生成的*.txt文件，检查密匙交换参数，如有不一致的，需手动修改，如下图：n

图 35 IKE连接参数设置n

配置完后点击Save保存设置的参数

到此就完成了所有的配置。然后就可以按照网络结构图把所有的设备连接好，并上电，当VPN正常连接后会出现下面的状态：

图 36 VPN连接状态查看

至此，VPN通道建立完毕，VPN建立后就可以对PLC进行远程的程序下载。