6.1 Der NAT Betriebsmodus
Der NAT-Betriebsmodus eignet sich, wenn eine Automatisierungszelle mit eigenen IP-Adressen in ein Firmennetzwerk mit anderen IP-Adressen integriert werden soll. WALL IE ermöglicht die Beibehaltung der Maschinen-IP-Adressen durch Network Address Translation (NAT), während die Kommunikation zum Firmennetzwerk mit eigenen IP-Adressen erfolgt.
Der WALL IE leitet Datenverkehr zwischen IPv4-Netzwerken weiter (Layer 3) und übersetzt IP-Adressen mittels NAT. Paket- und MAC-Adressfilter können zur Einschränkung des Datenverkehrs konfiguriert werden. Broadcast-Traffic wird gefiltert, um das Zeitverhalten des Maschinennetzwerks nicht zu beeinträchtigen.
Basic NAT (auch „1:1 NAT“ oder „Static NAT“) übersetzt einzelne IP-Adressen oder ganze Bereiche. Portweiterleitungen („Portforwarding“) können konfiguriert werden, um Pakete an bestimmte TCP/UDP-Ports von WALL IE zu Teilnehmern im Maschinennetzwerk weiterzuleiten.
Dieser Modus erlaubt die Integration mehrerer Automatisierungszellen mit identischen IP-Adressbereichen in dasselbe Firmennetzwerk. Jeder Zelle können dabei unterschiedliche freie IP-Adressen aus dem Firmennetzwerk zugewiesen werden.
Für den NAT-Anwendungsfall fahren Sie bitte auf Seite 9 fort.
7 Anwendungsfall „NAT“
Zur Aktivierung des NAT-Betriebsmodus wählen Sie im Menü „Device“ den Punkt „Operating Mode“ und stellen ihn auf „NAT“.
7.1 Anpassen der IP-Adressen im NAT-Betriebsmodus
Navigieren Sie zu „Network“ > „Interface“. Hier können Sie die WAN- und LAN-IP-Adressen sowie die zugehörigen Subnetzmasken festlegen.
Ein DNS-Server und ein Default-Gateway können ebenfalls konfiguriert werden, was für die Internetkommunikation von LAN-Geräten notwendig ist. Ohne diese Angabe ist die Internetverbindung unterbrochen. Ein DNS-Server ist auch für den SNTP-Dienst erforderlich.
Optional können WAN-IP-Einstellungen, DNS-Server und Standard-Gateway auch per DHCP bezogen werden.
Speichern Sie die Eingaben mit dem Button „Submit“. Mit „Decline“ verwerfen Sie die Änderungen.
ℹ️ Wenn Sie die LAN-IP-Adresse ändern, müssen Sie möglicherweise die Webseite des WALL IE unter der neuen IP-Adresse im Browser neu aufrufen und sich erneut einloggen.
7.2 Einrichtung von „Basic NAT“ Regeln
Um Basic-NAT-Funktionen zu nutzen, muss die Betriebsart auf „NAT“ eingestellt sein. Wählen Sie dann das Menü „NAT“ und das Untermenü „Basic NAT“.
Tragen Sie die erste Regel ein und speichern Sie sie mit dem [+]-Button.
Regelparameter:
- External IP: Eine freie IP-Adresse aus dem WAN-Adressbereich, die noch keinem anderen Teilnehmer zugewiesen ist.
- Internal IP: Die IP-Adresse des Netzwerkteilnehmers in der Maschine (LAN).
- Comment: Ein optionaler Kommentar.
Diese Konfiguration ermöglicht die Adressumsetzung („natting“) zur eingetragenen LAN-IP.
Statusanzeige:
- ✔️ Regel ist aktiv. Ein Klick auf das Lampensymbol schaltet sie inaktiv.
- ❌ Regel ist inaktiv. Ein Klick auf das Lampensymbol schaltet sie aktiv.
Mögliche Aktionen: [Löschen einer Regel], [Bearbeiten einer Regel], [Kopieren einer Regel]
ℹ️ Aus Sicherheitsgründen sind bei „Basic NAT“-Regeln zunächst alle Ports für „WAN-to-LAN“-Datenverkehr gesperrt. Um Zugriffe zu erlauben, müssen Paketfilter-Regeln erstellt oder die „Default Action“ bei den Paketfiltern auf „Accept“ gesetzt werden. Der Datenverkehr „LAN to WAN“ ist standardmäßig freigegeben, kann aber ebenfalls eingeschränkt werden.
7.3 Paketfilter „WAN to LAN“
Paketfilter beschränken den Zugriff zwischen Firmennetzwerk (WAN) und Maschinennetzwerk (LAN). Sie können konfigurieren, welche Teilnehmer aus dem Firmennetzwerk mit welchen Teilnehmern aus der Automatisierungszelle kommunizieren dürfen.
Filterkriterien (Layer 3 & 4): IPv4-Adressen, Protokoll (TCP/UDP/ICMP) und Ports.
Wählen Sie im Menü „Packet Filter“ den Punkt „WAN to LAN“.
Default Option:
- Accept: Alle Telegramme sind erlaubt, spezifische Pakete werden gefiltert (Blacklisting).
- Reject / Drop: Alle Telegramme sind verboten, nur Filterregeln lassen Telegramme durch (Whitelisting).
Wenn Sie zunächst nicht filtern möchten, setzen Sie die „Default Action“ auf „Accept“.
Um den Zugriff auf das Maschinennetzwerk einzuschränken, setzen Sie die „Default Action“ auf „Reject“ (sendet Fehlermeldung) oder „Drop“ (verwirft Telegramm ohne Meldung).
Beispiel: Ein PC im Firmennetzwerk (WAN) mit IP 10.10.1.11 soll Zugriff auf eine CPU im LAN mit IP 192.168.10.1 über Port 102 mittels TCP-Protokoll erhalten.
Regelkonfiguration:
- Source IP: IP-Adresse des aktiven Geräts im Firmennetzwerk (WAN).
- Destination IP: Angesprochenes Gerät im Maschinennetzwerk (LAN).
- Protocol: TCP, UDP, oder ICMP.
- Destination Ports: Ports, auf denen die Filterregel wirkt (z.B.
102). - Action: Accept, Reject, oder Drop.
- Comment: Optionaler Kommentar.
Port- und IP-Bereiche:
- Mehrere Ports: Komma-getrennt (z.B.
80,443,1194). - Portbereich: Doppelpunkt (z.B.
4000:5000). - Alle Ports:
1:65535. - IP-Bereich: Bindestrich (z.B.
10.10.1.10-10.10.1.20). - IP-Liste: Komma-getrennt (z.B.
10.10.1.10,10.10.1.15,10.10.1.20). - IP-Subnetz (CIDR): (z.B.
10.10.1.10/24).
Die „Action“ legt fest, ob die Kommunikation erlaubt („Accept“), abgelehnt („Reject“) oder verworfen („Drop“) wird. In Kombination mit der „Default Action“ ermöglicht dies Whitelisting oder Blacklisting.
7.4 Paketfilter „LAN to WAN“
Standardmäßig ist der Datenverkehr von LAN zu WAN ohne Beschränkung freigegeben („Default Action“: „Accept“).
Im Paketfilter „LAN to WAN“ kann die Kommunikation von LAN-Geräten zum Firmennetzwerk (WAN) oder ins Internet unterbunden oder für bestimmte Geräte eingeschränkt werden.
Die Filterregeln entsprechen denen für „WAN to LAN“, wobei die Source IP die LAN-IP ist und die Destination IP ein Gerät im WAN adressiert.
7.5 SNAT
Die Funktion „SNAT (Source NAT)“ leitet eingehenden WAN-Datenverkehr transparent an das LAN weiter. Die Quell-IP-Adresse wird durch die LAN-IP-Adresse des WALL IE ersetzt. Dies vereinfacht die Integration, da LAN-Geräte keine Gateway-Konfigurationsänderung benötigen.
7.6 NAPT
„NAPT for LAN to WAN traffic“ ersetzt die Absender-Adressen von LAN-Anfragen durch die WAN-IP-Adresse des WALL IE. Die Option „NAPT: Active“ ermöglicht die Kommunikation von LAN-Geräten mit WAN-Geräten. Der WALL IE fungiert als Gateway und kümmert sich um die IP-Adressübersetzung und Antwortzuordnung.
ℹ️ Damit NAPT funktioniert, muss die WALL IE LAN-IP-Adresse auf allen LAN-Geräten als Gateway eingetragen werden. Ist NAPT deaktiviert, werden Anfragen mit der originalen Absender-IP und dem Port weitergeleitet.
7.7 Portforwarding
Mit Portweiterleitungen („Portforwarding for WAN to LAN traffic“) können Pakete an einen bestimmten TCP/UDP-Port des WALL IE (WAN) an einen Teilnehmer im LAN weitergeleitet werden (z.B. 10.10.1.1:81 zu 192.168.10.5:80).
Beispiel: Die Webseite (Port 80) einer CPU mit IP 192.168.10.5 kann über WAN durch Zugriff auf die WALL IE IP-Adresse 10.10.1.1 mit Port 81 erreicht werden.
Regelparameter:
- Protocol: TCP oder UDP.
- External Port: Der Port auf der WAN-Seite, über den zugegriffen wird.
- Internal IP: Die IP-Adresse des verbundenen LAN-Geräts.
- Internal Port: Der Port auf dem LAN-Gerät, auf den zugegriffen wird.
- Comment: Frei definierbarer Kommentar.
ℹ️ „Portforwarding“ und „Basic NAT“ können gleichzeitig im NAT-Betriebsmodus verwendet werden. Wenn die Paketfilter „WAN to LAN“ auf „Reject“ oder „Drop“ gesetzt sind, müssen für jeden Portforwarding-Eintrag entsprechende Filterregeln erstellt werden.
Helmholz – Compatible with you | Automatisierungstechnik
