Configurazione del firewall

È possibile configurare POWER FOCUS 8 in modo da utilizzare un firewall. Il firewall si basa sul principio dell'host affidabile e consente solo le connessioni in entrata tramite le porte abilitate o gli indirizzi presenti nella lista bianca.

Per impostazione predefinita, il firewall è disabilitato.

Il firewall viene applicato solo alle connessioni in entrata sulla porta Ethernet della fabbrica.

Attivazione e configurazione del firewall

Nella vista Home, accedere alla scheda Impostazioni e selezionare Rete nel riquadro di sinistra.
Nella finestra Firewall, selezionare Modifica e quindi impostare Abilitato su On per attivare e configurare il firewall.
Accedere alle diverse finestre disponibili per configurare i diversi livelli del firewall:
- Filtro delle porte (firewall di livello 4). Apertura di un servizio sul controller. Consente di specificare i servizi raggiungibili attraverso il firewall.
- Filtro IP (firewall di livello 3). Specifica di un host attendibile da IP. Consente di specificare un IP considerato attendibile sulla rete, che potrà accedere a tutti i servizi.
- Filtro MAC (firewall di livello 2). Specifica di un host attendibile da MAC.

Quando si attiva la funzionalità firewall generale, Filtro porte (firewall di livello 4) e tutti i relativi servizi predefiniti sono abilitati per impostazione predefinita.

Una connessione viene consentita quando viene accettata da uno dei livelli del firewall. Quando non è abilitato alcun livello del firewall, tutte le connessioni in entrata sono consentite.

L'ulteriore configurazione del firewall viene eseguita abilitando/disabilitando le connessioni tramite i servizi predefiniti specificati, aggiungendo manualmente le porte TCP o UDP e/o inserendo indirizzi IP/MAC nella lista bianca.

Filtro delle porte (firewall di livello 4)

Quando Filtro porta (firewall di livello 4) imposta le regole del firewall e le porte TCP e UDP.

È possibile commutare il filtro delle porte (firewall di livello 4) su ON o OFF.
Quando Filtro porte (firewall di livello 4) è ON, il firewall esegue il filtraggio dei pacchetti in base alla porta di destinazione e i pacchetti inviati a una porta aperta vengono immediatamente accettati. I pacchetti non corrispondenti vengono elaborati anche dagli altri tipi di firewall (Filtro IP e Filtro MAC) prima di essere rifiutati.
Quando Filtro delle porte (firewall di livello 4) è OFF, il filtraggio delle porte è disabilitato e tutte le altre impostazioni sono nascoste.

I servizi predefiniti dispongono di interruttori di abilitazione:

Porte aperte per i servizi Web (TCP 80, TCP 8080)
Porte aperte per SSH e SFTP (TCP 22)
Porte aperte degli strumenti wireless (UDP 6677, TCP 6678)
Porte aperte per gli accessori (TCP 25000)
Porte TCP aggiuntive
Porte UDP aggiuntive

Servizio predefinito	Descrizione
Porte aperte per il Web (TCP 80, TCP 8080)	Porte richieste per i servizi Web in modo che il controller sia accessibile tramite la rete della fabbrica. Impostando Porte aperte per il Web (TCP 80, TCP 8080) su Off, viene attivato un avviso indicante che la connessione con l'HMI Web potrebbe essere interrotta.
Porte aperte per SSH e SFTP (TCP 22)	Porta richiesta per la funzionalità SSH e SFTP sulla porta Ethernet della fabbrica.
Porte aperte degli strumenti wireless (UDP 6677, TCP 6678)	Porte necessarie per la connessione degli strumenti wireless al controller tramite la rete della fabbrica.
Porte aperte per gli accessori (TCP 25000)	Porte necessarie agli accessori per comunicare con il controller sulla rete della fabbrica. Ciò vale per Socket Selector 6.
Apri altre porte TCP	Vengono accettate le porte separate da virgole e gli intervalli di porte definiti con un trattino (-). Esempio: inserendo 1,2,3,4-10, tutte le porte comprese tra 1 e 10 vengono aperte. Le voci delle porte non valide attivano un avviso a comparsa immediato. Le porte vengono ordinate automaticamente dopo la selezione del pulsante Applica.
Apri altre porte UDP

Quando si utilizza Open Protocol, aggiungere le porte da aprire manualmente nella casella di immissione Apri porte TCP aggiuntive. Ad esempio: 4545,4546,4547 (a seconda delle porte configurate in Stazione virtuale > Stazione virtuale 1 > Protocolli > Open Protocol > Porta del server).

Quando si utilizza un server NTP, aggiungere la porta 123 manualmente nella casella di immissione Apri porte UDP aggiuntive.

È possibile aggiungere più porte utilizzando la separazione delle virgole. È possibile aggiungere intervalli di porte utilizzando un trattino.

Filtro IP (firewall di livello 3)

Filtraggio IP (firewall di livello 3) permette di specificare gli host o le reti attendibili inserendone gli indirizzi IP nella casella Lista bianca IP. Per accedere alla casella di immissione, impostare l'interruttore su On. Le voci accettate sono elenchi di indirizzi IP o di rete sotto forma di tabelle IP, ovvero indirizzi IP di host o di rete. È possibile inserire la maschera di rete come lunghezza della maschera (es /24) o indirizzo IP di rete (es. /255.255.255.0). I pacchetti provenienti da un indirizzo IP nella lista bianca presente nella lista bianca vengono immediatamente consentiti. Gli altri pacchetti vengono controllati dagli altri livelli del firewall (Filtro porte e Filtro MAC).

A causa di problemi di sicurezza, l'immissione di nomi di host o rete non è accettata.

Nota: processi come il NAT (Network Address Translation) possono modificare gli indirizzi IP di origine. Rivolgersi all'amministratore della rete locale se occorre la lista bianca di un host in base all'indirizzo IP di origine.

Filtro MAC (firewall di livello 2)

Filtraggio MAC (firewall di livello 2) permette di specificare gli host o le reti attendibili inserendone gli indirizzi MAC nella casella Lista bianca MAC. Per accedere alla casella di immissione, impostare l'interruttore su On. Le voci accettate sono elenchi di indirizzi MAC separati da virgole. I pacchetti provenienti da un indirizzo MAC nella lista bianca presente nella lista bianca vengono immediatamente consentiti. Gli altri pacchetti vengono controllati dagli altri livelli del firewall (Filtro porte e Filtro IP).

Esempio di lista bianca di indirizzi MAC

Le voci non valide attivano un avviso a comparsa immediato.

Nota: il routing può modificare gli indirizzi MAC di origine. Rivolgersi all'amministratore della rete locale se occorre la lista bianca di un host in base all'indirizzo MAC di origine.

Contatori dei pacchetti

Per visualizzare le statistiche del firewall per ciascun livello dello stesso, selezionare Impostazioni > Rete > Firewall > Contatori pacchetti.

La sezione Aggiorna include i seguenti pulsanti:

Aggiorna: consente di aggiornare i contatori dei pacchetti visualizzati.
Reimposta: consente di azzerare i contatori dei pacchetti.

Entrambi i pulsanti sono dotati di un interruttore che si ripristina automaticamente nella posizione originale dopo aver eseguito l'azione.

La sezione Contatori pacchetti accettati visualizza i contatori per ciascun tipo firewall e dei pacchetti rifiutati.

Filtraggio porte: visualizza il contatore dei pacchetti accettati dal tipo di firewall Filtraggio delle porte.
Filtro IP: visualizza il contatore dei pacchetti accettati dal tipo di firewall Filtro IP.
Filtro MAC: visualizza il contatore dei pacchetti accettati dal tipo di firewall Filtro MAC.
Rifiutato: visualizza il contatore dei pacchetti rifiutati.

I pacchetti accettati, e quindi conteggiati, dalle regole di filtro porta, IP e MAC includono solo i pacchetti iniziali che stabiliscono una connessione.

I pacchetti rifiutati vengono conteggiati e visualizzati.

Stato del firewall

Lo stato della funzione del firewall generale e dei relativi livelli viene indicato nella vista principale Firewall in Impostazioni > Rete.

Stato	Descrizione
OK	Il firewall è abilitato e viene applicata la configurazione del firewall.
Disabilitato	Il firewall è disabilitato e la configurazione relativa non viene applicata.
Errore di configurazione	Il firewall è abilitato, ma la relativa configurazione non viene applicata a causa di un errore interno. Per motivi di sicurezza, viene applicata la politica di apertura in caso di errore, che consente tutte le connessioni.

Quando lo stato generale del firewall è OK, viene visualizzato anche lo stato (Abilitato/Disabilitato) per i rispettivi livelli del firewall.