TeleR2 / TeleR4 / S7-Firewall

TeleR²-Router PPPoE | Art.Nr. 9374-PPPOE
TeleR⁴-Router PPPoE | Art.Nr. 9374-4-PPPOE
S7-Firewall | Art.Nr. 9374-S7-Firewall

Die TeleR sind skalierbare Router. Über das integrierte WEB-Interface lässt sich TeleR² / TeleR⁴ konfigurieren und bedienen.

Anwendungen für TeleR² / TeleR⁴ sind z.B. Gateway / Verbinden / Fernwarten von:

• Automatisierungsnetzen
• ProfiNet-Netzwerken
• Standard-Ethernet Netzwerke.

Insbesondere unterstützt TeleR² / TeleR⁴ die Simatic-S7 Systeme von Siemens. Mit wenigen Handgriffen ist TeleR² / TeleR⁴ in der gewünschten Betriebsart einsatzbereit.

Für TeleR² / TeleR⁴ stehen je nach Betriebsart Erweiterungsmodule zur Verfügung.

In der Standardausführung ist TeleR² mit einem WAN Port und einem LAN Port und der TeleR⁴ mit einem WAN Port und 3 LAN-Ports, ausgeführt als Switch, bestückt.
Folgende Betriebsarten sind möglich.

Sie benötigen für die Konfiguration einen PC mit Webbrowser

• Spannungsversorgung an POW herstellen
• PC und TeleR-Router via Ethernetkabel verbinden
• IP-Adresse im IP-Bereich des TeleR2 / TeleR4 einstellen
  • für WAN-Seite 192.168.1.x
  • für LAN-Seite 192.168.2.x
• Im Browser die IP-Adresse des TeleR-Routers aufrufen
  • für WAN-Seite 192.168.1.57
  • für LAN-Seite 192.168.2.1
• Das Loginfenster mit „OK“ bestätigen
• Legen Sie unter WEB-Benutzer einen SuperUser (su) an
• Je nach Einsatz müssen Sie unterschiedliche Einstellungen tätigen
  • Routen zwischen zwei Netzen
  • OVPN-Server
  • OVPN-Client
  • PPPoE
  • Profinet-Router
  • IP-Address-Changer
  • Firewall-Router mit IP-Address-Changer
• Verbindung zum TeleR aufbauen
  • OVPN-Software für PC
  • 2 TeleR verbinden
  • Routing einstellen

Damit TeleR² / TeleR⁴ zwischen zwei Netzen routen kann, müssen Sie folgende Einstellungen tätigen:

1. Konfiguration
   1. Routing Mode einstellen
      • Büro, für Routing vom LAN zum Routinginterface
      • Maschine, für Routing vom Routinginterface zum LAN
   2. Routinginterface¹⁾: WAN/IP
   3. WAN/LAN IP-Adresse(n) einstellen
2. Benutzer
   • WEB-Benutzer
     • Superuser (su) anlegen
       (verhindert ungewollten Zugriff)

Im TeleR² / TeleR⁴ haben wir das populäre, unter Opensource veröffentlichte, OpenVPN implementiert. Detaillierte Informationen finden Sie unter http://www.openvpn.net. Mit OpenVPN stellen wir im TeleR² / TeleR⁴ ein neues Netzwerkinterface zur Verfügung. Dieses Interface wird quasi über einer Leitung (virtuelle Leitung) mit dem OpenVPN-Interface des Partnergerätes verbunden. Die Leitung wird mit Software realisiert. Dabei werden sämtliche Protokolle für dieses Interface, über einen eigenen UPD/TCP-Kanal, ausgetauscht. Man kann sagen es wird eine Telefonverbindung zwischen den Geräten per UDP / TCP hergestellt. Selbstverständlich ist die Verbindung verschlüsselt. Die Schlüssel sind im TeleR² / TeleR⁴ hinterlegt.

Gehen Sie wie folgt vor:

1. Konfiguration
   1. Routing Mode: Maschine
      (Routing vom Routinginterface zum LAN)
   2. Routing Interface²⁾: WAN/OVPN
2. Open VPN
   1. OVPN-Mode: Server (UDP) oder Server (TCP)
   2. ggf. Standardport ändern
   3. IP-Pool: IP-Adressbereich für die OVPN-Verbindung
   4. Interface: Hier stellen Sie die zu erreichenden Interfaces ein
   5. ggf. Dienste am Interface aktivieren (Webinterface, Ping, SSH (nur für Entwickler))
   6. VPN-Benutzer anlegen

Im TeleR² / TeleR⁴ haben wir das populäre, unter Opensource veröffentlichte, OpenVPN implementiert. Detaillierte Informationen finden Sie unter http://www.openvpn.net. TeleR² / TeleR⁴ kann auch als OVPN Client betrieben werden.
Wenn dieser Modus aktiviert ist, wird automatisch eine OVPN-Verbindung zum OVPN-Server aufgebaut.
Sie können diesen Modus verwenden, wenn z.B. der TeleR² / TeleR⁴ nicht am WAN-Port Routing zum LAN unternehmen soll.

Gehen Sie wie folgt vor:

1. Konfiguration
   1. Routing Mode: Büro³⁾
   2. Routing Interface⁴⁾: WAN/OVPN
2. Open VPN
   1. OVPN-Mode: Client (UDP) oder Client (TCP)
   2. ggf. Port anpassen
   3. unter Server-Adr. (nur Client) die IP-Adresse oder DNS des OVPN-Servers einstellen
   4. Benutzer und Passwort eintragen

Auf unserer Webseite finden Sie als Download einen Open VPN Installer für Windows 32/64-bit. In diesem Paket ist eine Vorkonfiguration für unseren TeleR² / TeleR⁴ enthalten.
Open VPN Verbindungen können natürlich auch von Linux oder Mac Betriebssystemen aufgebaut werden.

1. Open VPN Client Anwendung installieren
2. Konfigurationsdaten installieren
3. unter C:\Program Files\OpenVPN\config finden Sie normalerweise die Konfigdateien
   • öffnen Sie „TProf2config.ovpn“ und geben die OVPN-Server Daten ein
     1. remote „Server-IP-Adresse“
     2. Port „Server Port“, default 1194
     3. proto udp (default) oder tcp (wie OVPN-Servereinstellung)
4. Starten Sie die OVPN-Client Anwendung als Admin
   1. in der Taskleiste unten rechts finden Sie die Anwendung
   2. Rechtsklick, gewünschtes Profil auswählen
      1. „Verbinden“ klicken
      2. anschließend Benutzer und Passswort eingeben
      3. bei Verbindungsaufbau werden alle nötigen Einstellungen gesetzt

Es können zwei TeleR miteinander verbunden werden. Dabei wird der Tunnel zwischen den zwei Geräten aufgebaut und alle Nutzer des Firmennetzes können somit auf das entfernte Netz zugreifen.
Damit der Anwender diese Verbindung nutzen kann, muss er am PC oder im Router, lediglich das Routing richtig einstellen.

Beispiel:
TeleR IP-Adresse LAN im Haus: 192.168.0.100
TeleR IP-Adresse LAN an Maschinenseite: 192.168.3.50
IP-Adresse SPS: 192.168.3.10

Um zwei TeleR miteinander zu verbinden, gehen Sie wie folgt vor:

1. den TeleR an der Maschinenseite als OpenVPN-Server einrichten
   1. Open VPN
      1. OVPN-Mode „Server (UDP)“ oder „Server(TCP)“ einstellen
      2. Interfaceberechtigungen einstellen (PING, Webinterface)
      3. VPN-Benutzer einrichten
   2. Konfiguration
      1. Routing-Mode: „Maschine“
      2. Routinginterface⁵⁾: „WAN/OVPN“
      3. WAN/LAN Adresse(n) einstellen
      4. ggf. PPPoE einstellen
      5. ggf. DynDNS einstellen
2. den TeleR im eigenen Haus als OpenVPN-Client einrichten
   1. Open VPN
      1. OVPN-Mode „Client (UDP)“ oder „Client (TCP)“ einstellen
      2. VPN-Server-Adresse, Benutzer und Passwort eingeben
   2. Konfiguration
   3. Routing Mode: „Büro“
   4. Routing Interface⁶⁾ „WAN/OVPN“
   5. WAN/LAN Adresse(n) einstellen
   6. ggf. PPPoE einstellen

TeleR² / TeleR⁴ unterstützt das PPPoE-Protokoll. Legen Sie hier die Parameter zum Betrieb an einem DSL / Kabelmodem fest. Zur Übersicht und zur einfacheren Konfiguration sind hier auch die Einstellungen für Standardgateway und DNS möglich. In der Regel sollte hier auf „auto von PPPoE“ gestellt werden.

1. Konfiguration
   1. Routing-Mode einstellen
      • Büro, für Routing vom LAN zum Routing Interface
      • Maschine, für Routing vom Routing Interface zum LAN
   2. Routing Interface⁷⁾: WAN/PPPoE oder WAN/OVPN
   3. PPPoE: aktivieren
      • Benutzerdaten vom Provider eingeben
      • ggf. Gateway einstellen z.B. auf „auto von PPPoE“ einstellen

TeleR² / TeleR⁴ kann optional als Profinet-Router betrieben werden (Option Profinet).
Dafür benötigen Sie 2 TeleR² / TeleR⁴.
Die ProfiNet-Verbindung wird über eine gesicherte OVPN-Verbindung realisiert. Die VPN-Verbindung kann über WAN/IP oder über WAN/PPPoE aufgebaut werden. Der als OVPN-Client eingerichtete Router, verbindet sich automatisch zum OVPN-Server.
Achtung: Es ist kein Echtzeitdatenaustausch möglich

So richten Sie eine ProfiNet - Verbindung mit 2 x TeleR² / TeleR⁴ ein: Um zwei TeleR miteinander zu verbinden, gehen Sie wie folgt vor:

1. TeleR an der Maschinenseite als OpenVPN-Server einrichten
   1. Open VPN
      1. OVPN-Mode: „Server (UDP)“ oder „Server(TCP)“
      2. Interfaceberechtigungen einstellen (PING, Webinterface)
      3. VPN-Benutzer einrichten
   2. Konfiguration
      1. Routing-Mode: „Maschine“
      2. Routinginterface⁸⁾ „WAN/IP“ oder „WAN/PPPoE“
      3. evtl. DynDNS / PPPoE aktivieren
2. TeleR im eigenen Haus z.B. als OpenVPN-Client einrichten (Menü Open VPN)
   1. Open VPN
      1. OVPN-Mode: „Client (UDP)“ oder „Client (TCP)“
      2. VPN-Server, -Benutzer und Passwort eingeben
   2. Konfiguration
      1. Routing Mode: „Büro“
      2. Routing Interface⁹⁾: „WAN/IP“ oder „WAN/PPPoE“

Mit dem IP-Address-Changer können Netzwerkteilnehmer unterschiedlicher Subnetze miteinander verbunden werden ohne Änderung der Netzwerkkonfiguration der Netzwerkteilnehmer.

Sie können den TeleR mit einer S7-Firewall erweitern. Somit können Sie die Routing- und die Firewallfunktionen gleichzeitig nutzen.

Beispiel:
SPS IP-Adresse: 192.168.1.85
Firmennetz IP-Bereich: 192.168.10.1 - 192.168.10.250
TeleR4 WAN IP: 192.168.10.57
TeleR4 LAN IP: 192.168.1.1

Die IP-Adresse der SPS kann nicht verändert werden und soll vom Firmennetzwerk erreichbar sein.
Die SPS soll unter der IP-Adresse: 192.168.10.30 zu erreichen sein.
Zugriffsberechtigte IP-Adresse: 192.168.10.25
Verfügbare Datenbereiche: lesend MB 0-20

Gehen Sie wie folgt vor:

1. Konfiguration
   1. Routing-Mode einstellen
      • Maschine, für Routing vom Routing Interface zum LAN
   2. Routing Interface¹⁰⁾:
      • z.B. WAN/IP, für IP-Routing
   3. WAN-LAN-Einstellungen
      1. WAN
         • IP-Adresse: 192.168.10.30
         • Subnet Mask: z.B. 255.255.255.0
      2. LAN
         • IP-Adresse: 192.168.1.1
         • Subnet Mask: z.B. 255.255.255.0
2. S7 Firewall Einstellungen
   1. S7-Firewall Betrieb: S7-Firewall Router
   2. Firewall HMI/PG Stationen
      • Name: z.B. PC1
      • IP-Bereich: 192.168.10.25
      • Verbindungskanal z.B. OP/HMI
   3. Firewall SPS-Stationen
      • Name: z.B. Extruder
      • IP-Addr-Bereich: 192.168.10.30
   4. S7-Firewall Verbindungen
      • Name: z.B. MS
      • aktiv: Haken setzen
      • HMI/PG: PC1 auswählen
      • SPS: Extruder auswählen
      • bei Bedarf noch Haken bei PG-Vollfunktion und/oder Voller Zugriff setzen. In diesem Beispiel nicht gewünscht!
   5. Auf den Namen der erstellen Verbindung klicken, hier MS
      • Als Regel: „r:MB0,21“ eingeben. Somit können MB 0 - MB 20 gelesen werden
      • Alle weiteren gewünschten Datenbereiche, mit dem gewünschten Lese-/Schreibzugriff, freigeben
   6. S7-Firewall neustarten
3. IP-Address-Changer
   1. aktiv: Haken setzen
   2. im ersten IP-Adresspaar, Haken bei aktiv setzen
   3. auf der WAN-Seite, 192.168.10.30 eingeben
   4. auf der LAN-Seite, 192.168.1.85 eingeben

Siehe auch Mögliche Ursache, wenn Sie keine Daten erhalten

Damit Sie das Anlagennetz über den PC erreichen können, gibt es mehrere Möglichkeiten:

1. Eingabeaufforderung/Konsole als Administrator starten
   • lokales Routing hinzufügen:
     route add „Ziel-IP“ „Gateway“
     z.B. route add 192.168.3.10 192.168.3.50
   • oder gesamten IP-Bereich:
     route add „Ziel-IP-Bereich“ mask „Netmask“ „Gateway“
     z.B. route add 192.168.3.0 mask 255.255.255.0 192.168.3.50
   • Befehl route print gibt die aktuell gesetzten Routen aus
   • Testen Sie das Routing z.B. mit einen Ping zum Zielnetz
2. In Ihrem Router / Switch, Routing zum TeleR² / TeleR⁴ WAN-IP eintragen
   • Testen Sie das Routing z.B. mit einen Ping zum Zielnetz

Der WAN/LAN-Port kann jeweils bis zu 3 verschiedene IP-Adressen und Subnetze erhalten.
Der Port kann auch als DHCP-Server oder Client betrieben werden. Die notwendigen Daten für die IP-Zuordnung werden hier eingegeben.

Für den Betrieb als DHCP/Server, können feste Zuordnungen MAC-IP-Adresse festgelegt werden (Siehe weiter unten, „DHCP feste Adressen„).

Weiter wird festgelegt, welche Services am Port zur Verfügung stehen Web-Konfig, Ping , SSH (nur für Entwickler)

DHCP-Einstellungen:

1. DHCP: Server
2. Start-IP eintragen z.B. 192.168.2.100
3. End-IP eintragen z.B. 192.168.2.150
4. Subnet eintragen z.B. 255.255.255.0
5. Router-IP: z.B. LAN-IP 192.168.2.1
6. 1.DNS: DNS-Server-IP eintragen

An die USB-Schnitstelle kann ein USB-Modem gesteckt werden, welches die Einwahl ins Internet vornimmt.
Eine Modemverbindung wird als PPP-Verbindung realisiert. So kann TeleR² / TeleR⁴ auch mit anderem Einwahlroutern verwendet werden. Somit ist TeleR² / TeleR⁴ ein idealer Ersatz z.B. für Teleservice IE von Siemens.

Ist ProfiNet aktiviert, wird TeleR² / TeleR⁴ zum Verbinden / Fernwarten von ProfiNet-Netzwerken verwendet. Hier ein schematisches Beispiel:

Die ProfiNet-Verbindung wird über eine gesicherte VPN-Verbindung realisiert. Die VPN-Verbindung kann über WAN (TCP/IP) oder über WAN / PPPoE aufgebaut werden. So richten Sie eine ProfiNet - Verbindung mit 2 x TeleR² / TeleR⁴ ein:

• ProfiNet-Option auf beiden Geräten aktivieren
• eine Seite als OpenVPN-Server und die andere als OpenVPN-Client einrichten (siehe weiter unten)
• evtl. DynDNS / PPPoE aktivieren

Einstellungen Konfiguration:

Die Geräte verbinden sich automatisch. Bei erfolgreicher Verbindung kann zwischen den beiden ProfiNet-Netzwerken kommuniziert werden.
Achtung!
Es ist kein Echtzeitdatenaustausch möglich.

• Mit dem IP-Address-Changer können Netzwerkteilnehmer unterschiedlicher Subnetze miteinander verbunden werden ohne Änderung der Netzwerkkonfiguration der Netzwerkteilnehmer.

Anwendung:

• z.B. Serienmaschinen, welche vom Hersteller immer dieselbe IP-Adresse besitzen, sollen in ein Netzwerk gebracht werden.
• Maschinen / Geräte mit unterschiedlichem Subnetzt sollen miteinander kommunizieren.

Funktion:

• Die Maschinen / Geräte, welche in ein anderes (gemeinsames neues) Subnetz gebracht werden sollen, sind an der LAN-Seite anzuschliessen (direkt oder über Switch).
  
• Im TeleR²/R⁴ macht eine automatische Umsetzung von IP-Adressen auf WAN-Seite zu IP-Adressen auf der LAN-Seite. Dabei nimmt TeleR2/R4 quasi ein Proxy-IP-Adresse auf der WAN-Seite ein und verbindet diese simultan mit der zugewiesenen IP-Adresse auf der LAN-Seite.
  
• Da TeleR²/R⁴ pro Interface (WAN/LAN) verschiedene IP-Adressen bzw. Subnetze erhalten kann, ist es möglich LAN-seitig unterschiedliche Subnetze zu mischen, solange keine IP-Adresse mehrfach vorkommt.
  

Hier ein Beispiel:
Es soll ein Datenerfassungssystem eingesetzt werden, welches von unterschiedlichen Maschinen die Daten abgreift. Das Erfassungssystem sitzt im Firmen- / Büronetzwerk.

• Firmennetz: 192.168.3.0 Netmask 255.255.255.0
• Maschinennetz 1: 192.168.1.0 Netmask 255.255.255.0
  zwei Maschinen: 192.168.1.10, 192.168.1.11
  • Zuordnung der IP-Adressen:
    192.168.3.15 –> 192.168.1.10
    192.168.3.16 –> 192.168.1.11
• Maschinennetz 2: 192.168.2.0 Netmask 255.255.255.0
  eine Maschine: 192.168.2.5
  • Zuordnung der IP-Adressen:
    192.168.3.26 –> 192.168.2.5

Konfiguration sieht wie folgt aus:
Für die Verbindung müssen Sie lediglich folgende Einstellungen tätigen:

• Routing Mode: Maschine¹¹⁾
• Routing Interface¹²⁾: WAN/IP
• WAN/LAN Einstellungen anpassen
  • WAN-IP: 192.168.3.x
• für LAN 2 IP-Adressen festlegen:
  • erste IP-Adresse aus 192.168.1.x-Netz
  • zweite IP-Adresse aus 192.168.2.x-Netz
• IP-Address-Changer Konfiguration

Die Netzteilnehmer können nun vom Firmennetz (LAN-Seite) 192.168.3.xxx aus angesprochen werden.

Legen Sie hier die Parameter zum Betrieb an einem DSL / Kabelmodem fest. Zur Übersicht und zur einfacheren Konfiguration sind hier auch die Einstellungen für Standardgateway und DNS möglich. In der Regel sollte hier auf „auto von PPPoE“ gestellt werden.

Auch hier kann selektiert werden, welche Services am Interface zur Verfügung stehen.

Im Telefonbuch werden alle Anlagen mit Modemanschluss verwaltet. Der Verbindungsaufbau mit einem Partner geschieht einfach durch Mausklick auf die Telefonnummer.

Benutzer und Passwort werden in der DFÜ-Benutzer-Datenbank gepflegt. So ist es möglich einen Benutzer für mehrere Anlagen zu verwenden.

TeleR² / TeleR⁴ kann auch für andere DFÜ-PPP-Zugänge verwendet werden

Wenn TeleR² / TeleR⁴ per Internet z.B. per OpenVPN erreicht werden soll, muss die Internet-IP-Adresse des Gerätes bekannt sein.
Sinnvoll ist hier nicht mit einer festen IP-Adresse zu arbeiten, da der Provider nach neuem Verbindungsaufbau (z.B. per PPPoE) evtl. eine neue IP-Adresse zuteilt.
Sinnvoller ist es hier, das Gerät immer mit gleichem Domainnamen anzusprechen.

Der Dienstleister DynDNS bietet hierfür im Internet einen Service an (http://www.dyndns.org). DynDNS = Dynamic DomainNameSever. Zum Betrieb des Services müssen Sie sich bei DynDNS anmelden. Näheres auf der Homepage von DynDNS. Bis zu 5 Dynamische IP-Adressen sind frei. Sollten Sie mehrere benötigen, können Sie bei DynDNS gegen Bezahlung, eine entsprechende Anzahl Domainnamen buchen. Der Preis ist sehr günstig ca. 30,- US$ im Jahr.

Im Groben geht das so:
Sie registrieren bei DynDNS den gewünschten Hostnamen. z.B. meineanlage.dynalias.com.
Für Ihren Zugang erhalten Sie Benutzer und Passwort.
Tragen Sie diese Daten in die Einstellung DynDNS-Konfig ein und setzen Sie „verwende DynDNS“ auf ja.

Der DynDNS frischt im angegebenen Zeitintervall die Daten bei DynDNS auf. Sollte der Provider eine neue IP-Adresse zuteilen, so wird das innerhalb dieses Intervalls dank DynDNS wieder korrigiert. Ihren TeleR² / TeleR⁴ erreichen Sie dann unter dem registrierten Namen z.B. testgeraet.dyndns.org
Diesen Domainnamen geben Sie in Ihrem Bürogerät beim VPN-Teilnehmer ein.

Wird der eingebaute DHCP-Server (am WAN oder LAN ) betrieben, kann es sinnvoll sein, bestimmten IP-Teilnehmern immer dieselbe IP-Adresse zuzuteilen. Hier können Sie festlegen welche MAC-Adresse, welche IP-Adresse erhält.

Hier können sie direkt die Uhrzeit ändern.

Damit TeleR² / TeleR⁴ immer mit aktueller Uhrzeit arbeitet, haben wir einen NTP-Client implementiert. So kann sich TeleR² / TeleR⁴ automatisch über einem im Internet oder mit einem anderen im Netz verfügbaren TimeServer, Datum und Uhrzeit, synchronisieren.

Normalerweise ist das Routing auf alle Netzwerkteilnehmer erlaubt. Sobald ein Eintrag in dieser Tabelle existiert, wird ein Zugriff nur über die obigen Regeln möglich sein. In der Standardedition ist das Routing nur zum LAN bzw. von LAN möglich. Siehe Betriebsart. Der „Advanced-Betrieb“ erlaubt Regeln in beide Richtungen.

Im TeleR² / TeleR⁴ haben wir das populäre, unter Opensource veröffentlichte, OpenVPN implementiert. Detaillierte Informationen finden Sie unter http://www.openvpn.net.

Hier möchte ich kurz die Funktion des OpenVPN, wie es im TeleR² / TeleR⁴ implementiert ist, erläutern.
Grundsätzlich gibt es zwei Betriebsarten des OpenVPN: Server oder Client.
Als Server wird normalerweise das Gerät an der Anlage (Maschinen) konfiguriert.

Mit OpenVPN stellen wir im TeleR² / TeleR⁴ ein neues Netzwerkinterface zur Verfügung. Dieses Interface wird quasi über einer Leitung (virtuelle Leitung) mit dem OpenVPN-Interface des Partnergerätes verbunden. Die Leitung wird mit Software realisiert. Dabei werden sämtliche Protokolle für dieses Interface, über einen eigenen UPD/TCP-Kanal, ausgetauscht. Man kann sagen es wird eine Telefonverbindung zwischen den Geräten per UDP / TCP hergestellt. Selbstverständlich ist die Verbindung verschlüsselt. Die Schlüssel sind im TeleR²/TeleR⁴ hinterlegt.

Die Optionen Dienste am Interface legen fest, welche Services bei bestehender VPN-Verbindung zur Verfügung stehen

Hier wird festgelegt, in welcher Form zum WAN / LAN-Port über VPN geroutet werden soll.

aus: Routing zum Interface nicht möglich
===>: Routing vom VPN zum Interface
⇐==: Routing vom Interface zum VPN
⇐=⇒: Routing in beide Richtungen

Wer darf nun eine OpenVPN-Verbindung aufbauen?
Wie kann der Zugang kontrolliert werden?

ACHTUNG: Prinzipiell kann jeder der das Zertifikat hat und die IP-Adresse des TeleR hat, eine VPN-Verbindung aufbauen und auf das Gerät zugreifen. In der Erweiterung „Advanced Router“ können Sie Ihre eigenen Zertifikate verwenden.
Das bringt mehr Sicherheit

Hier verwalten Sie die Benutzer, die sich per OpenVPN verbinden dürfen.

In den VPN-Verbindungen können, ähnlich einem Telefonbuch, Ihre Maschinen verwaltet werden. Es wird die Serveradresse, das Protokoll, der Port und ein Verweis auf einen VPN-Benutzer eingegeben (Siehe vorher).

In der Benutzerverwaltung verwalten Sie die User, die mit welchem Recht das WEB-Interface bedienen dürfen.
Weiter werden hier die Zugangsdaten für Benutzer gepflegt, welche eine DFÜ-Verbindung (Modem) aufbauen dürfen.

Hier die Maske für die Eingabe der WEB-Interface Benutzer. Pro Benutzer können verschiedene Berechtigungen vergeben werden. Grundsätzlich dar nur ein Anwender mit „SU“ änderungen vornehmen.U1 – U5 darf das Interface nur bedienen. In den TeleR² / TeleR⁴-Erweiterungsmodulen besitzen „U1“ – „U5“ nochgenauer spezifizierte Bedienungsrechte.

Benutzerlevel:
SU = Super User, darf alle Einstellungen tätigen
U1-5 darf nur bestimmte Einstellungen sehen bzw. ändern

Hier die Maske für die Eingabe der DFÜ-Interface Benutzer. Der Benutzer erhält nur den Zugang, wenn aktiv auf „ja“ steht. Weiter steht der Zusatz „Dial in & out“ oder nur „Dial out“ zur Verfügung.

Wählt sich ein User ein, so werden alle Einträge geprüft, die auf „Dial in & out“ stehen. Andere Benutzer erhalten keinen Zugang. Im Telefobuch erfolgt die Zuordnung

Hier finden Sie alle Einstellungen, die für die Wartung des TeleR benötigt werden.
Neue Firmware

1. Entzippen Sie die heruntergeladene Datei
2. TeleR² / TeleR⁴ vom Netz trennen und am PC anschließen
3. ggf. am PC IP-Adresse einstellen
4. WEB-Interface aufrufen
5. Firmware Upload: Datei *.bin auswählen
6. Speichern
7. mit „ja“ bestätigen
8. LED S1 blinkt sehr schnell
9. warten bis LED S1 im Dauerlicht

Anzeige des Geräte Zustandes. Hier z.B. mit aufgebauter OVPN-Verbindung.

Zeigt alle aktuell vergeben IP-Adressen und Linkstati der einzelnen Ports an.
Zudem finden Sie hier noch die aktuellen gesetzten Routen.

Mit dem HMI-Meldemodul lassen sich Email-Nachrichten (Störmeldungen und Wartungsmeldugen) automatisch ohne Programmieraufwand in der SPS ereignisabhängig an praktisch beliebig viele Empfänger versenden. Das System ordnet die Meldungen automatisch den jeweiligen Empfängern zu und versendet die Nachricht über den richtigen Provider.
Bitte beachten:
Durch den Versand von Email-Nachrichten entstehen ggf. zusätzliche Kosten (Telefongebühren, Gebühren für Internetzugang etc.). Die Höhe der jeweiligen Gebühren erfahren Sie bei Ihrem Provider. Damit das HMI-Modul richtig arbeiten kann, müssen einige Grundeinstellungen gemacht werden.
Folgende Punkte sind einzurichten:

• Emailserver
• Emailempfänger
• SPS-Verbindungen
• SPS-Variablen
• Normierungen (optional)
• Meldungen
• Grundeinstellung HMI-Option aktiv schalten
• Email-Versand aktivieren

Auch das HMI-Modul ist durch Zugangsschutz per WEB-Browser gesichert. Die notwendigen Rechte dafür werden bei den entsprechenden Punkten angegeben.

Damit der TeleR² / TeleR⁴ eine Email versenden kann, wird ein Emailkonto bzw. ein Server benötigt, der die Meldungen empfängt und weiterleitet.

Steht eine Email zum Versand an, versucht TeleR² / TeleR⁴ erstmal über die aktuellen Möglichkeiten (eingestellter DNS und Gateway) den entsprechenden Server zu erreichen. Gelingt dies nicht, wird eine Internetverbindung unter der Einstellung Konfiguration → PPPoE/DSL oder Konfigurationsansicht → Internet → Provider aufgebaut und dann versucht den Server zu finden. Diese Verbindung wird auch verwendet, wenn die Internetverbindung auf manuell steht. Wurde die Verbindung zum Internet so aufgebaut, wird diese nach 2 Minuten Leerlauf (keine Email liegt an) bzw. spätestens nach 10 Minuten getrennt.

Im nächsten Schritt legen Sie die Empfänger der Email-Nachrichten fest.

Für den Zugriff auf die SPS werden Verbindungen benötig. Verbindungen werden zur Zeit für die SIMATIC S7 über TCP/IP unterstützt.
Anschließend projektieren Sie die gewünschten Variablen.
Nun können Sie für die Ausgabe noch Normierungen festlegen.
Anschließend setzen Sie Ihre gewünschten Meldungen zusammen.

Legen Sie nun die gewünschten Variablen an, welche angezeigt bzw. verarbeitet werden sollen.

Zur richtigen Anzeige und Verarbeitung der Variablen muss gegebenfalls eine Umrechnung erfolgen. Diese Umrechnung kann mit Normierungen erfolgen. Sie können hier die notwendigen Umrechnungen definieren und später den Meldungen zuordnen. Da eine Normierung normalerweise häufiger vorkommt, ist es sinnvoll, diese zentral zu verwalten.

Die eigentlichen Meldungen werden separat konfiguriert. Dort wird der Zusammenhang zwischen Variable, Normierung und Meldegruppe getroffen. Woraus die eigentliche Meldung resultiert. Die Reihenfolge der Meldungen wird nach Eingabe der Zeilennummer vorgenommen.

Um die Meldeverarbeitung überhaupt zu aktivieren müssen grundsätzliche Einstellungen getroffen werden. Bevor Sie diese Einstellungen aktivieren, sollten die Medlungen prokjektiert sein.
Die Bedeutung der einzelnen Zeilen:

Auf der Seite Email-Meldepuffer sind die im Moment anstehenden und noch nicht versendeten Meldungen zu sehen. Die Spalte „Tx-Versuch“ zeigt die Anzahl der Versuche, die bereits unternommen wurden, um die email abzusetzen. Diese ist größer 0, wenn z.B. der DNS-Server nicht gefunden wurde oder die email-Server Konfiguration fehlerhaft ist. Die größte Anzahl der Versuche wird der SPS gemeldet (siehe oben).

Ein Klick auf das Symbol löscht alle Meldungen in der Liste. Die Meldungen werden nicht versendet!
Zu Testzwecken entfernen Sie das Netzwerkkabel, so können Sie die Funktion der Anlage testen.

Im Menüpunkt Meldungen betrachten können Sie den aktuellen Zustand der Meldungen betrachten. Dort werden alle Meldezustände der projektierten Meldungen angezeigt. Also auch diese, welche keine email erzeugen können. Dadurch kann schon ohne SPS-Programmiersoftware ein Zustand über die Anlage gewonnen werden. Das Meldefenster wird alle 3 Sekunden aktualisiert. Rot hinterlegte Felder bedeuten, daß eine Grenzwertverletzung vorliegt.

Dokumentation für die Version 1.19

S7-Firewall ist eine skalierbare „SPS-Firewall“, die nicht nur IP/MAC-Adressen filtert. Für frei definierbare Verbindungen kann der Zugriff auf beliebige Datenbereiche der SPS eingeschränkt / festgelegt werden. S7-Firewall kann beliebig zwischen SPS- und Bedien- / Programmierebene eingebaut werden. S7-Firewall erkennt die Einbaurichtung automatisch. Es werden nur konfigurierte Verbindungen zugelassen.

Unsere S7-Firewall basiert auf unseren TeleR⁴

Der WAN/LAN-Port hat gemeinsame IP-Adressen
Es können bis zu 3 verschiedene IP-Adressen und Subnetze konfiguriert werden. Der Port kann auch als DHCP-Server oder Client betrieben werden. Die notwendigen Daten für die IP-Zuordnung werden hier eingegeben. Für den Betrieb als DHCP/Server können feste Zuordnungen MAC-IP-Adresse festgelegt werden. (Siehe „DHCP feste Adressen). Weiter wird festgelegt, welche Services am Port zur Verfügung stehen (Web-Konfig), Ping , SSH (nur für Entwickler)

Hier die Maske für die Eingabe der WEB-Interface Benutzer. Pro Benutzer können verschiedene Berechtigungen vergeben werden. Grundsätzlich darf nur ein Anwender mit „SU„ Änderungen vornehmen. U1 – U5 darf das Interface nur bedienen. In den S7-Firewall-Erweiterungsmodulen besitzen „U1“ – „U5„ noch genauer spezifizierte Bedienungsrechte.

Die SPS-Firewall-Verbindungen ergeben sich aus der Kombination aus HMI/PG-Station und SPS-Station

Die Verbindungen werden aus der Kombination HMI/PG-Station und SPS-Station gebildet. Jede HMI/SPS-Station kann mehrfach verwendet werden. Bei Änderung von Mac- oder IP-Adresse muss diese nur zentral in der HMI/PG-Station bzw. SPS-Station geändert werden. Jeder Verbindung wird eine Verbindungsregel zugeordnet.
Ist „erlaube PG-Vollfunktion“ selektiert, so ist diese Verbindung ein Vollzugriff. In Zukunft wird dieser Zugriff näher unterteilt werden können (Definierte Bausteine lesen / schreiben, SPS Start/Stop, Urllöschen , Systemdaten (lesen/schreiben).

Im Regelscript werden die Datenbereiche bzw. mögliche Zugriffe für die jeweilige Verbindung festgelegt. Das Script kann über den Link des Namens der Verbindung erreicht werden.


Syntax des Regelscripts

In eine Regelzeile kann ein einzelner Operand, oder ich ein Bereich eingegeben werden.
Beispiel für die Eingabe von einzelnen Operanden: (Quelle aus Siemens STEP-S7 PG-Software)

Hinweis: Die Eingabe von „DB0. ..“ ist aufgrund interner Benutzung nicht erlaubt.
Beispiel für die Eingabe von Bereichen, mit Anzahl der Einheiten:
ab Merker 60, 10 Byte: MB60, 10
ab DB10, Datenwort 2, 5 Worte: DB10.DW2, 5
Hinter dem Komma folgt die Anzahl der gewünschten Einheiten (je nach Adressart, BOOL, BYTE, WORD, DWORD)
Beispiel für die Eingabe von Bereichen mit „von“ – „bis„:
Merker Byte 70 bis Merker Byte 200: MB 70 – MB 200
Ausgang A 10.2 bis Ausgang 14.7: A 10.2 – A14.7
Einfach nach Startoperanden mit ‚-‚ den Endoperanden (Endadresse) angeben. Die Endadresse wird inkludiert!

Im Firewall Log finden Sie die Ursache, warum Sie aktuell keine Daten erhalten haben oder schreiben konnten.

In diesem Beispiel ist der erlaubter Datenbereich: MB 0 - MB 20

Daten lesen ohne Firewall:

Alle Daten können ohne Probleme gelesen und geschrieben werden.

Als Regel, wurde der Datenbereich r:MB 0 - MB 20 eingestellt, lesender Zugriff.
Alle Daten können gelesen, aber nicht beschrieben werden.

Liest ein Gerät, eine Software oder irgend ein anderer Teilnehmer z.B. folgende Daten, kann es sein, dass trotz erlaubtem MB 20 keine Daten übermittelt werden.

Ursache:

Durch Datenoptimierungen kann es vorkommen, dass bestimmte Bereiche gelesen werden, die gar nicht angegeben sind. In diesem Beispiel wurde das Merkerbyte 0 und das Merkerbyte 20-21 einzeln abgefragt.
Somit kam es trotz erlaubtem MB 20 zur Ablehnung der Anweisung, da das Lesen von MB21 nicht gestattet ist.

Fügt man r:MB 20,2 zur Firewallregel hinzu, können diese Datenbereiche gelesen werden.

Auf der Rückseite befinden sich vier Schraubenlöcher. Montieren Sie die mitgelieferte Hutschienenhalterung, dass die Feder nach unten zeigt.

Montage:
Hacken Sie erst unten in die Hutschiene ein und drücken/ziehen dann vorsichtig den TeleR2 / TeleR4 in die Halterung.

Demontage:
Zum demontieren heben Sie den TeleR2 / TeleR4 an und kippen ihn leicht nach vorne.

Für die Spannungsversorgung des Gerätes wird entweder das mitgelieferte Steckernetzteil oder eine vor Ort vorhandene Spannungsversorgung von 10-30V/DC mit min. 350mA Strom an dem grünen 2poligen Stecker angeschlossen. Bei dem mitgelieferten Steckernetzteil sind die Spannungspole durch farbige Aderndhülsen gekennzeichnet.

Der PLUS-Pol mit der Farbe „Rot“, der MINUS-Pol mit der Farbe „blau“. Es wird der PLUS-Pol an der oberen Schraubklemme und der MINUS-Pol an der unteren (äußeren) Schraubklemme angeschlossen.
Die „Power“ - LED leuchtet. Nach einer kuren Initialisierungsphase leuchtet die „S1“ - LED im Dauerlicht und das Gerät ist betriebsbereit.