创建 IP 规则集

操作 (Action)

允许/禁止（启用/阻止）

Accept

允许符合定义的帧。

Drop

阻止符合定义的帧。

Reject

帧被拒绝，并且发送方收到相应消息。

对于因组态连接而自动生成且随后手动进行调整的防火墙规则：

Accept*

Drop*

如果更改自动创建的连接规则，选择“*”选项后，STEP 7 将不会重新创建并覆盖这些规则。

自/至 (From/To)

选择规则适用的通信方向。

在单独的部分中介绍。

对于 SCALANCE S 模块：IP 数据**滤方向 SCALANCE S

对于 S7-300-/S7-400-/PC CP：S7-300-/S7-400-/PC-CP IP 数据**滤方向

对于 S7-1200-/S7-1500 CP：S7-1200/S7-1500 CP 的 IP 数据**滤方向

通信方向“站”包含 CP 的访问以及通过 CP 对 CPU 的访问。

通信方向“任意”包含加载时安全模块支持的所有防火墙方向。

默认情况下，通信方向“站”、“背板总线”（** CP 1543-1 V2.1 及更高版本，并且带有选项“通信模块间 IP 路由”(IP routing between communications modules)）和“隧道”归类为受信任通信。对于受信方向之间的通信，*组态防火墙规则。

IPv6

如果选中该复选框，则可使用防火墙规则中之前定义的 ICMPv6 服务。对于一些安全 CP，选中该复选框后，可以在“源 IP 地址”(Source IP address) 和“目标 IP 地址”(Destination IP address) 文本框中输入附加 IPv6 地址。

仅当“源 IP 地址”(Source IP address) 和“目标 IP 地址”(Destination IP address) 文本框中不存在任何条目时，才可选中或取消选中该复选框。

如果在支持 IPv6 的 CP 的本地设置中已禁用 IPv6，则不能选中 CP 本地安全设置中的“IPv6”复选框，因此不能使用防火墙规则中的 ICMPv6 服务或 IPv6 地址。如果已禁用 IPv6，则使用 IPv6 的现有防火墙规则呈灰显状态。

源 IP 地址 (Source IP address)

如果发送方在此处*帧的 IP 地址，则防火墙规则适用于这些帧。如果不* IP 地址，则防火墙规则适用于“自”(From) 列中选择的通信方向上的所有节点。

有关 IP 地址的其它信息，请参见“IP 数据**滤器规则中的 IP 地址”部分。

幻象模式下的组态选项（仅适用于 SCALANCE S S602 V3.1 及更高版本）：

如果已激活幻象模式，则内部节点的 IP 地址将由安全模块在运行时动态决定。根据所选方向，可以在“源 IP 地址”(Source IP address) 列（对于“从内部到外部”方向）或“目标 IP 地址”(Destination IP address) 列（对于“从外部到内部”方向）中选择下列选项之一。

内部节点的 IP 地址：由 SCALANCE S 将内部节点的 IP 地址插入到防火墙规则中。

限制广播：而是由 SCALANCE S 将广播 IP 地址 255.255.255.255 插入到防火墙规则中。

定向广播：由 SCALANCE S 将 SCALANCE S 网络的广播 IP 地址插入到防火墙规则中。也可以通过路由器将定向广播转发到目标网络中。

组播：由 SCALANCE S 将组播地址段 224.0.0.0 /24 添加到防火墙规则中。选择该选项后，还可以*来自组播地址段的特定组播 IP 地址。

目标IP 地址 (Dest. IP address)

如果接收方在此*帧的 IP 地址，则防火墙规则适用于这些帧。如果不* IP 地址，则防火墙规则适用于“至”(To) 列中选择的通信方向上的所有节点。

服务

可供使用的 IP/ICMP 服务或服务组的选项。

注意：使用预定义服务前，请确保其预定义参数符合您的要求。特别注意预定义源和目标端口。

选中后，将打开一个窗口，其中显示所有预定义的和组态的 IP 服务、ICMP 服务和服务组。这些服务和服务组在全局安全功能下的“防火墙 > 服务 > 为 IP 规则定义服务”(Firewall > Services > Define services for IP rules) 中进行管理。

传输速度 (Mbps) (Transmission speed (Mbps))

传输速度限制

只有选择“Accept”操作时才能输入。

如果符合 Accept 规则且未**出该规则允许的传输速度，则数据包可通过防火墙。

CP 343-1 Adv. / CP 443-1 Adv.、S7-1200-/S7-1500-CPs、CP 1628：0.001 ... 100 Mbps

SCALANCE S：0.001 ... 1000 Mbps

对于全局和用户特定的规则：0.001 ... 1000 Mbps

对于具有方向“背板总线”的 IP 规则：0.001 ... 1 Mbps

注意：如果在防火墙规则中为 S7-1200/S7-1500 CP 组态了方向“从隧道到工作站”(From tunnel to station)，则无法*任何传输速度限制。

对于 CP 1543-1 V2.1，如果为两个方向之一组态了“任意”，则只能*一个传输速度限制。这不适用于方向“任意”和“站”的组合。

记录 (Logging)

启用和禁用对该规则的记录。如果启用了记录功能，则将应用在本地安全设置中组态的数据**滤记录功能设置。

启用

禁用（默认）

编号 (Number)

为规则自动分配的编号。移动规则时将重新计算编号。

状态 (Stateful)

如果通过“Accept”操作取消选中 IP 规则的这一复选框，则 Accept 规则适用的所有数据包均不会生成防火墙状态。防火墙状态会自动让所允许数据包的响应通过。

只有选择“Accept”该操作，才能进行修改。仅 SCALANCE S 模块（V3 及更高固件版本）支持无防火墙状态 IP 规则组态。如果还要允许按照该 IP 规则通过防火墙的数据包的响应通过，则需要针对上述响应组态附加的 IP 规则。

对于 SCALANCE S V3 及更高版本的 Accept 规则：

启用（默认）

禁用 (Disabled)

对于 SCALANCE S V3 之前版本和 CP 的 Accept 规则：

启用（默认）

注意：CP 不显示此复选框；但始终会隐式使用激活的选项以允许 CP 的 Accept 规则。

对于 Drop 规则：

禁用（默认）

注释 (Comment)

用于解释规则的空间

若注释标记为“AUTO”，则该注释是为自动连接规则创建的注释。对于已创建的规则，可选择输入注释。