NAT/NAPT 路由器与防火墙之间的关系

时间：2021-07-20

含义

在创建 NAT/NAPT 规则后，STEP 7 自动生成防火墙规则，启用在组态的地址转换方向上的通信。所生成的防火墙规在高级防火墙模式中显示为防火墙规则集，并可根据需要对其进行扩展（附加 IP 地址/IP 地址范围/IP 地址段、服务、传输速度）。此外，应就**级和位置等对自动生成的防火墙规则进行检查。如果规则列表里还存在**级**自动生成的防火墙规则的手动组态的防火墙规则，在某些情况下将不执行 NAT/NAPT。

如果存在多个相同的 NAT/防火墙规则对，则由防火墙规则列表中的**级决定所使用的规则。

无法更改 STEP 7 生成的防火墙参数。取消激活 NAT/NAPT 后，将禁用 STEP 7 生成的防火墙规则。

为指明 NAT/NAPT 规则和对应的防火墙规则之间的关系，相关规则以对应的连续编号进行标识。

在为 NAT/NAPT 规则自动生成的防火墙规则中，无法禁用“状态”(Stateful) 复选框。

下表给出了为 SCALANCE S 模块的 NAPT 规则生成的防火墙规则背后的体系。

列表: NAT 地址转换和 SCALANCE S 模块的相应防火墙规则

NAT 操作	所创建的防火墙规则
NAT 操作	操作	从	至	源 IP 地址 (Source IP address)	目标 IP 地址
目标 NAT	Accept	源网络	目标网络	-	在“目标 IP 地址”(Destination IP address) 输入框中*的 IP 地址
源 NAT	Accept	源网络	目标网络	在“源 IP 地址”(Source IP address) 输入框中*的节点 IP 地址	-
源 NAT + 目标 NAT	Accept	源网络	目标网络	在“源 IP 地址”(Source IP address) 输入框中*的节点 IP 地址	-
源 NAT + 目标 NAT	Accept	目标网络	源网络	-	由 STEP 7 插入到“目标 IP 地址”(Destination IP address) 输入框中的 IP 地址
双 NAT	Accept	源网络	目标网络	在“源 IP 地址”(Source IP address) 输入框中*的节点 IP 地址	在“目标 IP 地址”(Destination IP address) 输入框中*的 IP 地址
双 NAT	Accept	源网络	目标网络	在“源 IP 地址”(Source IP address) 输入框中*的节点 IP 地址	在“目标转换”(Destination translation) 输入框中*的节点 IP 地址

下表给出了为 CP 343-1 Adv./CP 443-1 Adv. 的 NAT 规则生成的防火墙规则背后的体系。

列表: NAT 地址转换和 CP 343-1 Adv./CP 443-1 Adv. 的相应防火墙规则

NAT 操作	所创建的防火墙规则
NAT 操作	操作	从	至	源 IP 地址 (Source IP address)	目标 IP 地址
目标 NAT	Drop	外部	站	-	外部网络中安全模块的 IP 地址
目标 NAT	Accept	外部	任意	-	在“目标转换”(Destination translation) 输入框中*的节点 IP 地址
源 NAT	Accept	任意	外部	在“源转换”(Source translation) 输入框中*的 IP 地址	-
源 NAT + 目标 NAT	Accept	任意	外部	在“源转换”(Source translation) 输入框中*的 IP 地址	-
	Drop	外部	站	-	外部网络中安全模块的 IP 地址
	Accept	外部	任意	-	由 STEP 7 插入到“目标转换”(Destination translation) 输入框中的节点 IP 地址

下表给出了为 SCALANCE S 模块的 NAPT 规则生成的防火墙规则背后的体系。

列表: NAPT 转换和为 SCALANCE S 模块创建的防火墙规则

所创建的防火墙规则
操作	从	至	源 IP 地址 (Source IP address)	目标 IP 地址	服务
Accept	源网络	目标网络	-	源网络中安全模块的 IP 地址	[Service_NAPT_rule]

下表给出了为 CP 343-1 Adv./CP 443-1 Adv. 的 NAPT 规则生成的防火墙规则背后的体系。

列表: NAPT 转换和为 CP 343-1 Adv./CP 443-1 Adv. 创建的防火墙规则

创建的防火墙规则
操作	从	至	源 IP 地址 (Source IP address)	目标 IP 地址	服务
Drop	外部	站	-	外部网络中安全模块的 IP 地址	[Service_NAPT_rule]
Accept	外部	任意	-	外部网络中安全模块的 IP 地址	[Service_NAPT_rule]

状态数据包检查

防火墙和 NAT/NAPT 路由器支持“状态数据包检查”机制。因此，回复帧可以通过 NAT/NAPT 路由器和防火墙，而不需要将其地址额外包含在防火墙规则和 NAT/NAPT 地址转换中。

13681875601

词条
词条说明
功能代码 16 — 预设多个寄存器
功能代码 16 — 预设多个寄存器函数该函数代码使 MODBUS 主站系统能够在 SIMATIC CPU 的数据块中写入多个数据字。请求消息帧ADDRFUNCstart_register数量Byte_count nn-DATA（高字节、低字节）CRC响应消息帧ADDRFUNCstart_register数量CRCstart_register驱动程序如下所示解释 MODBUS 寄存器地址“start
过滤类型显示
过滤类型显示使用过滤器，可获得扩展库中类型的较佳概览效果。过滤器提供了限制显示类型的选项。可用的过滤器包括：具有未决变更的类型过滤器将显示版本为“测试”(In test) 或“开发”(In work) 的所有类型。已发布的类型过滤器将显示版本不为“测试”(In test) 或“开发”(In work) 的所有已发布类型。具有多个版本的类型过滤器将显示具有多个版本的所有类型。项目中未使用的类型过滤器
操作模式与系统状态
S7-1500R/H CPU 除了具有与 S7-1500 标准 CPU 相同的操作模式之外，还具有其它操作模式。而系统状态是指，冗余系统中两个 CPU 的各种操作模式产生的状态。更多信息，请参见《冗余系统 S7-1500R/H 系统手册》“操作模式与系统状态”部分。操作模式操作模式是指在特定时间点某个单 CPU 的操作特性。在编程启动、测试和错误诊断时，需要用到 CPU 操作模式的相关知识。当前操
组态* 2 层功能生成树常规
常规MSTP 的常规设置这是生成树的基本页面。从下拉列表中选择兼容模式。默认情况下会启用多重生成树。在这些功能的组态页面，可进行详细设置。提示客户端设备不可作为根网桥通过组态**级和路径开销，确保客户端设备始终不会成为根网桥。如果客户端设备成为根网桥，则“快速生成树”功能将不可用。根据具体的兼容性模式，可以在相关组态页面组态相应的功能。设置Spanning Tree启用或禁用生成树。提示客户端或客