通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?

n

说明:
本文描述了如何通过 Internet 在两个 SCALANCE S61x 模块间建立 VPN 通道。SCALANCE S61x 模块工作在路由模式。n

要求如下:n

  • SCALANCE S61x V2模块从固件版本 V2.1 以上才能支持通过 Internet 以路由模式建立 VPN 通道,SCALANCE S61x V2 模块的V2.3 版本固件可以通过条目 ID !41751852! 下载。n
  • SCALANCE S612 V3 模块和 SCALANCE S623 V3 模块必须支持通过路由模式建立 VPN 通道。SCALANCE S612 V3 的当前固件版本 V3.1.0.1可通过 ID 68041706 下载。n
  • 配置 SCALANCE S61x V2 模块需要 Security Configuration Tool V2.1 或更高版本。n
  • 配置 SCALANCE S612 V3 模块和 SCALANCE S623 V3 模块需要 Security Configuration Tool V3.0 或更高版本。n
  • 标 准路由器 A 需要一个固定的公网 IP 地址。主动方(SCALANCE S61x B)向该 固定外网 IP 地址发 起VPN 通道的建立。被动方(SCALANCE S61x A) 等待对方来开始建立 VPN 通道。

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
Fig. 01 n

图. 01n

配置描述:

IP 地址为 192.168.3.2 的PC 站连接到 SCALANCE S61x A 的内部网,从而保护其不受来自外网的非法访问。
SCALANCE S61x A 是 PC 站的路由器。n

控制器 S7-300 站连接至 SCALANCE S61x B 的内网,从而保护其不受来自外网的非法访问。
SCALANCE S61x B 作为 S7-300 控制器的路由器。n

标准路由器 A 是 SCALANCE S61x A 的路由器,标准路由器 B 是 SCALANCE S61x B 的路由器。n

在 S7-300 站中定义路由

  • 在 S7-300 站的硬件组态中,打开 CP343-1 的接口属性窗口。n
  • 使能 "Use router" 功能,输入 SCALANCE S61x B 内网 IP 地址 140.80.0.2 。

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图 02:n

定义 PC 站的默认网 关

  • 通过以下方式为 PC 站修改 IP 地址和网关:“开始 > 控制面板 > 网络连接 > 本地连接”,打开属性 “ internet protocol (TCP/IP)”。n
  • 按照图 01 所示修改 PC 站的 IP 地址,如本例中IP地址为 192.168.3.2,子网掩码为 255.255.255.0。n
  • 输入 SCALANCE S61x A 的内网 IP 地址 192.168.3.1 作为缺省网关。

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图 03:n

接下来配置标准路由器 A 和 B 。n

配置标准路由器
标准路由器 A 连接到SCALANCE S61x A 的外网口。SCALANCE S61x A 做为被动方等待其伙伴来建立 VPN 通道。n

标准路由器 B 连接到SCALANCE S61x B 的外网口。SCALANCE S61x B 向使用固定公网 I P 的路由器 A 发起 VPN 连接。

序号 步骤
1 被动SCALANCE S61x 连接的标准路由器 A 配置如下端口转发规则: n

  • 当标准路由器 A 接收到来自 Internet指向端口500 和 4500 的 UDP 数据包,则转 发该数据包到 SCALANCE S61x A 的外口 IP 地址 192.168.2.200.

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图 04

2

对与被动模块 SCALANCE S61x 连接的标准路由器 B 配置如下端口转发规则:n

  • 当标准路由器 B 接收到来自 Internet 指向端口 500 和 4500 UDP 数据包,则转 发该数据包到 SCALANCE S61x B 的外口 IP 地址 192.168.2.2。

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图 05n

说明:
如果主动模块 SCALANCE S61x 连接的标准路由器没有配置端口转发规则,仍可以建立 VPN 通道。

n

配置 SCALANCE S61x 模块
现在根据图 01用 Security Configuration Tool 配置 SCALANCE S61x 模块。

序号 步骤
1 通过 Start > All Programs > Siemens Automation > SIMATIC > SCALANCE > Security > Security Configuration Tool 打开 Security Configuration Tool 并创建一个新项目。
2 选择 "Paste > Module" 菜单,打开 "Selection of a module or software configuration" 。 n

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图. 06n

注意
"Selection of a module or software configuration" 对话框在创建一个新的项目时会自动打开。

3在实例中 VPN 通道是在 2 个 SCALANCE S612 V3 模块间建立的,按照以下步骤添加并配置一个 SCALANCE S612 V3: n

  • 将模块命名,如 S61xA(可分配任意名称)n
  • 对于模块 "S61xA" 设置该模块的工厂设置 MAC 地址,该 MAC 地址印在模块上。n
  • 为模块 "S61xA" 分配外网口的 IP 地址 192.168.2.200 和子网掩码 255.255.255.0。n
  • 选择 "Interface routing external/internal" 为路由模式并为模块 "S61xA" 分配内网口的 IP 地址192.168.3.1 子网掩码 255.255.255.0。n
  • 点"OK"确认。

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图. 07

4按照以下步骤添加并配置另一个 SCALANCE S612 V3:

  • 例如将模块命名为 S61xB(可分配任意名称)n
  • 对于模块 "S61xB" 设置该模块的工厂设置 MAC 地址,该 MAC 地址打印在模块上。n
  • 为模块 "S61xB" 分配外网口的 IP 地址 192.168.2.2 和子网掩码 255.255.255.0。n
  • 选择 "Interface routing external/internal" 为路由模式并为模块 "S61xB" 分配内网口的 IP 地址140.80.0.2 子网掩码255.255.0.0.。n
  • 点"OK"确认。

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图. 08n

注意
SCALANCE S 模块的内网 IP 地址必须使用不同的 IP 子网。

5添加的 CALANCE S61x 模块在"All modules" 下显示。
通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图. 09
6
  • 在"All modules" 下,右键单击模块"S61xA",在弹出的菜单选择属性打开模块属性。n
  • 在 "Routing" 项输入标准路由器 A 的内网的 IP 地址192.168.2.1。

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
Fig. 10

7
  • 在"All modules" 下,在,右健单击模块"S61xB",在弹出的菜单选择属性打开模块属性。n
  • 在 "Routing" 项输入标准路由器 B 的内网的 IP 地址192.168.2.1。

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
Fig. 11

8通过菜单 "Paste -> Group"创建一个新组。 n

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图. 12

9将两个刚创建的SCALANCE S61x 模块拖放到创建的组中。 n

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图 13

n

配置 VPN (虚拟私有网络)

序号 步骤

1

  • 在 "All modules" 下右键点击"S61xA"模块,在弹 出的菜单选择属性打开模块属性。n
  • 切换到 "VPN" 标签, 选择 "Wait for partner (responder)" 功能。n
  • 输入标准路由器 A 的固定公网 IP 地址 217.91.8.166 作为 "WAN IP address"。

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图. 14

2

  • 在"All modules" 下右键点击"S61xB"模块,在弹出的菜单选择属性打开模块属 性。n
  • 在"VPN" 标签。 选择"Start coection to partner (initiator/responder)" 功能。

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?

图. 15

3到此对 SCALANCE S61x 模块的配置结束。

n

下载或保存配置

序号 步 骤
1 在"All modules" 下选择模块"S61xA",点击 "download" 按钮,下载配置到 SCALANCE S61x A. n

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图. 16

2在"All Modules"下选择模块"S61xB" ,点击 "download" 按钮,下载配置到 SCALANCE S61x B. n

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图. 17

n

通道建立:
此时主动模块 SCALANCE S61x B 周期性的尝试建 立通道。在SCALANCE S61x B属性的 "VPN" 标签下设置该时间间隔(如图15所示)。 为此 SCALANCE S61x B 发送 ISAKMP 数据包到标准路由器 A 的公网 IP 地址 217.91.8.166 。标准路由器 A 的公网固定 IP 可从被动模块 (SCALANCE S61x A) 的配置中获得(如图14所示)。标准路由器 A 根据端口转发规则转发数据到SCALANCE S61x 。n

一旦通道建立,控制中心和远程站的数据交换通过VPN通道加密的进行传输。n

诊断
SCALANCE S61x A 和 B 两个模块都可以从 PC 站访问到。这可以通过在 Security Configuration Tool 中点击“Online view” 查看SCALANCE S61x 是否可访问。n

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图. 18n

通过 Internet,如何在两台 SCALANCE S 61x 模块之间以路由模式配置 VPN 通道?
图. 19n

在线视图中双击模块 "S61xA",可打开 SCALANCE S61x A 的在线视图,此时可以在 "Communication status" 标签下跟踪SCALANCE S61x A 连接到 PC 站的 VPN 通道的状态。n

如果已经在两个SCALANCE S61x 之间通过 Internet 建立了 VPN 通道,则可以从 PC 站访问到受保护的自动化单元2 (S7-300 站),这意味着:

  • 可以从 PC 站 ping 通 S7-300 站中的工业以太网通讯模块。
  • 可以从 PC 站访问 CP 卡的WEB网页内容。
  • 从 STEP 7 中,使用 PG/OP 功能在线访问 S7-300 站,从而可以把 STEP 7 项目或配置下载到 S7-300 站的 CPU 中,或者读取 CPU / IE CP 的诊断缓冲区。

说明:
1、VPN 通道不支持 2 层协议,例如 STEP 7 的 "Show Accessible Nodes" 功能。

2、如果开启了防火墙功能,则防火墙的 UDP 端口 500 和 4500 需要使能(如图. 01) 。

原创文章,作者:ximenziask,如若转载,请注明出处:https://www.zhaoplc.com/plc333889.html

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2020年11月5日
下一篇 2021年4月12日

相关推荐

发表回复

登录后才能评论