Ich integriere eine Cisco ASA 5505-Firewall folgendermaßen:
Innerhalb des IP-Bereichs (VLAN-AWTP): 192.168.127.xxx (industrielle Geräte)
DMZ-IP-Bereich (VLAN-OPC): 192.168.77.xxx (nur OPC-Server-PC, der auf ein industrielles Netzwerkgerät zugreift)
Außerhalb des IP-Bereichs (VLAN-MWTP): 192.168.50.xxx (OPC-Client)
Der Zweck der Firewall besteht darin , VLAN-MWTP-Zugriff auf einen PC in VLAN-OPC zu gewähren (VOLLSTÄNDIGER Zugriff ist in Ordnung ) und den eingeschränkten Zugriff (einzelner TCP-Port) vom OPC-Server auf das industrielle Gerät zu gewähren . Dies beinhaltet NATing und solche, die ich denke, ich habe in Ordnung umgesetzt.
Hier ist mein aktueller Stand und mein Problem:
-VLAN-OPC kann auf das VLAN-AWTP zugreifen ok (kann auf den TCP-Port des industriellen Geräts zugreifen).
-Ein PC mit VLAN-MWTP kann mit NATed 192.168.50.32 (übersetzt in 192.168.77.4) einen Ping- und RDP-Befehl an den VLAN-OPC-Server senden. Es scheint jedoch, dass keine Verbindung zum OPC-Server hergestellt werden kann. Ich erhalte die Fehlermeldung "Der RPC-Server ist nicht verfügbar"
-Ich habe dies als Firewall-Problem isoliert, nicht als Windows DCOM-Problem, wie es bei OPC-Verbindungen häufig vorkommt (hatte diesen Kampf bereits!). Verbunden in Ordnung.
-Ich habe ein paar verschiedene Dinge ausprobiert, z. B. die Aktivierung der DCERPC-Inspektion, die von einigen Foren angewiesen wurde, aber immer noch keine Freude, aber zu diesem Zeitpunkt fühle ich mich überfordert, sodass ich sehr gut etwas falsch machen könnte. Sie können wahrscheinlich sehen, wo meine Inspektionsrichtlinien anfangen, schlampig zu werden.
- Grundsätzlich wäre ich mit dem vollständigen Zugriff (einschließlich RPC, DCOM usw.) von VLAN-MWTP auf VLAN-OPC zufrieden. Ich hätte nicht gedacht, dass es so schwer sein sollte?
Konfiguration ist wie folgt:
ASA Version 8.2(5)
!
hostname AAA-AAAAA
enable password HxFQQ4ozRZkZGyAK encrypted
passwd HxFQQ4ozRZkZGyAK encrypted
names
!
interface Ethernet0/0
switchport access vlan 100
!
interface Ethernet0/1
switchport access vlan 200
!
interface Ethernet0/2
switchport access vlan 300
!
interface Ethernet0/3
shutdown
!
interface Ethernet0/4
shutdown
!
interface Ethernet0/5
shutdown
!
interface Ethernet0/6
shutdown
!
interface Ethernet0/7
shutdown
!
interface Vlan100
no forward interface Vlan300
nameif VLAN-AWTP
security-level 100
ip address 192.168.127.4 255.255.255.0
!
interface Vlan200
nameif VLAN-OPC
security-level 0
ip address 192.168.77.1 255.255.255.0
!
interface Vlan300
nameif VLAN-MWTP
security-level 0
ip address 192.168.50.245 255.255.255.0
!
ftp mode passive
same-security-traffic permit inter-interface
same-security-traffic permit intra-interface
object-group network opc-chw-ip
access-list opc-access-in extended permit tcp host 192.168.77.4 host 192.168.77.50 eq 44818
access-list vws-access-out extended permit tcp host 192.168.77.4 host 192.168.127.50 eq 44818
pager lines 24
mtu VLAN-AWTP 1500
mtu VLAN-OPC 1500
mtu VLAN-MWTP 1500
icmp unreachable rate-limit 1 burst-size 1
no asdm history enable
arp timeout 14400
static (VLAN-AWTP,VLAN-OPC) 192.168.77.50 192.168.127.50 netmask 255.255.255.255
static (VLAN-OPC,VLAN-MWTP) 192.168.50.32 192.168.77.4 netmask 255.255.255.255
access-group vws-access-out out interface VLAN-AWTP
access-group opc-access-in in interface VLAN-OPC
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout sip-provisional-media 0:02:00 uauth 0:05:00 absolute
timeout tcp-proxy-reassembly 0:01:00
timeout floating-conn 0:00:00
dynamic-access-policy-record DfltAccessPolicy
aaa authentication telnet console LOCAL
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec security-association lifetime seconds 28800
crypto ipsec security-association lifetime kilobytes 4608000
telnet timeout 5
ssh 192.168.127.0 255.255.255.0 VLAN-AWTP
ssh timeout 60
console timeout 0
threat-detection basic-threat
threat-detection statistics access-list
no threat-detection statistics tcp-intercept
username aaaaaaaa password Tpz8OQBnrHIDp010 encrypted privilege 15
!
class-map icmp-class
match default-inspection-traffic
class-map inspection-default
class-map CM-DCERPC
match port tcp eq 135
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum client auto
message-length maximum 512
policy-map icmp_policy
class icmp-class
inspect icmp
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect ip-options
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
inspect icmp
inspect dcerpc
class CM-DCERPC
inspect dcerpc
policy-map PM-DCERPC
class CM-DCERPC
inspect dcerpc
!
service-policy global_policy global
service-policy icmp_policy interface VLAN-AWTP
service-policy PM-DCERPC interface VLAN-OPC
service-policy PM-DCERPC interface VLAN-MWTP
prompt hostname context
no call-home reporting anonymous
call-home
profile CiscoTAC-1
no active
destination address http https://tools.cisco.com/its/service/oddce/services/DDCEService
destination address email [email protected]
destination transport-method http
subscribe-to-alert-group diagnostic
subscribe-to-alert-group environment
subscribe-to-alert-group inventory periodic monthly
subscribe-to-alert-group configuration periodic monthly
subscribe-to-alert-group telemetry periodic daily
Cryptochecksum:f545ff56444cbffecda9d652f2261e2d
: end
Der OPC-PC, zu dem ich eine Verbindung herstellen möchte, hat die statische IP 192.168.77.4/24 mit einem Gateway von 192.168.77.1 (diese Firewall).
Jede Hilfe wäre sehr, sehr dankbar!