Siemens S7-300 Manuel De Configuration page 58

Configuration du CP Ethernet avec STEP 7
3.3 Paramétrage des autres propriétés du CP
Remarque
Blocage de la communication IP
Pour bloquer, sur un CP Advanced, la communication IP via HTTP (port 80) ou FTP (port
20/21), procédez comme suit :
Désactivez l'option "Activer serveur Web" ou "Activer serveur FTP". Ces deux fonctions
sont désactivées par défaut.
Activation de la sécurité des données - Implications
Si la protection d'accès pour la communication IP est activée, le pare-feu est activé
automatiquement, indépendamment des entrées, dès que la fonction de sécurité est activée.
Les entrées de l'IP-ACL créées sous Step 7 sont reprises dans les droits correspondants
sous forme de règles de pare-feu. Ces règles de pare-feu dérivées, lors de l'activation de la
sécurité des données, des entrées de la liste ACL, ne s'appliquent qu'au niveau de l'interface
vers le réseau externe.
Remarque
IP-ACL sans entrée lors de l'activation de la sécurité des données
Si vous reprenez une IP-ACL exempte d'entrées, le pare-feu est activé et il n'est plus
possible d'accéder au CP de l'extérieur. Pour que le CP reste accessible, configurez en
mode avancé de SCT les règles de pare-feu appropriées.
Remarque
Comportement au sein du sous-réseau interne
Dès que vous activez la sécurité des données, il n'existe dans un premier temps pas de
restrictions d'accès entre les partenaires de communication du réseau interne.
Pour le sous-réseau interne, cela implique : Les entrées de l'IP-ACL qui limitaient la
communication à des partenaires définis sont invalidées avec l'activation de la sécurité des
données.
Une fois que la sécurité des données a été activée, il est cependant possible de définir en
détail les paramètres de pare-feu pour les divers abonnés. Pour les liaisons spécifiées vers
des partenaires externes, des règles de pare-feu autorisant l'établissement de la liaison sont
créées automatiquement. Pour les liaisons non spécifiées, vous devez configurer au
préalable les règles de pare-feu voulues.
Stateful Packet Inspection
Le pare-feu et le routeur NAT/NAPT prennent en charge le mécanisme "Stateful Packet
Inspection". Les télégrammes de réponse peuvent par conséquent passer par le routeur
NAT/NAPT et le pare-feu sans qu'il soit nécessaire d'inscrire leur adresse dans la règle de
pare-feu ou dans la liste de translation d'adresses NAT/NAPT. Les adresses IP qui
apparaîtraient temporairement dans l'ACL en cas de désactivation de la sécurité des
données, peuvent être détectées par le mécanisme de Stateful Packet Inspection. Ces
adresses IP ne sont alors pas visibles sur les pages correspondantes du diagnostic.
58
CP S7 pour Industrial Ethernet Configuration et mise en service
Manuel de configuration, 09/2013, C79000-G8977-C182-13