如何在 WINCC OA V3.12 中实现安全的 Web 访问 Getting-started Edition (2015 年 10 月 ) Unrestricted

Size: px

Start display at page:

Download "如何在 WINCC OA V3.12 中实现安全的 Web 访问 Getting-started Edition (2015 年 10 月 ) Unrestricted"

堕续堵
4 years ago
Views:

1 如何在 WINCC OA V3.12 中实现安全的 Web 访问 Getting-started Edition (2015 年 10 月 ) Unrestricted

2 摘要在 WinCC OA V3.12 及以上版本,Web Client 的安全性能得到了很大的提升本文介绍了实现安全 Web 访问的具体组态方法关键词 WinCC OA Web 服务器 Web 客户端 Internet SSL 代理 Key Words WinCC OA, Web Server, Web Client, Internet, SSL, Proxy Page 2-16

3 目录 1 实现安全的 Web 访问概述如何使用 Proxy 实现 Web 访问组态用于 Web 发布的项目设置路由器访问 Web 服务器的画面如何实现安全的 Web 访问创建 HTTP 根证书创建 HTTP 主机证书创建 PROXY 根证书创建 PROXY 主机证书在 Web Client 计算机上安装证书访问 Web 服务器的画面 Page 3-16

4 1 实现安全的 Web 访问概述在 WinCC OA V3.12 及以上版本, 当创建新项目时, 将默认增加一个管理器 (Multiplexing Proxy Manager), 该管理器用于实现使用 SSL 加密的安全的 Web 访问 Multiplexing Proxy 管理器负责通信的入口和出口, 减少了网络服务的端口, 并且代理服务器可以减轻 DoS 攻击 (DoS 是 Denial of Service 的简称, 即拒绝服务 ; 造成 DoS 的攻击行为被称为 DoS 攻击, 其目的是使计算机或网络无法提供正常的服务 ) 的影响下图说明了 Proxy 与 Data Manager Event Manager 和 Web Client 之间的关系 : 图 1 Proxy 与 Data Manager Event Manager 和 Web Client 之间的关系 2 如何使用 Proxy 实现 Web 访问在本示例中, 将 Multiplexing Proxy 与 WinCC OA Server Web Server 部署在同一台计算机上, 该计算机的 IP 地址为 ;WinCC OA Web Server 的外网发布地址为对于更多的配置方法, 请参见帮助文档 [Special functions] / [Security] / [Multiplexing Proxy] / [ Configuration of the Multiplexing Proxy] 中的介绍 WinCC OA 服务器 WinCC OA Web 服务器 Multiplexing Proxy 路由器图 2: 本示例的网络示意图 WinCC OA Web 客户端 Page 4-16

5 2.1 组态用于 Web 发布的项目第一步 : 创建一个测试项目 TestWebClient, 添加 Control Manager, 在其 Options 选项中设置参数 webclient_http.ctl, 并启动该 Control Manager 即启动 WinCC OA Web Server 第二步 : 在项目 TestWebClient 的 config 文件中增加如下内容 : [general] mxproxy = " :5678 cert" [proxy] server=" :4998" server=" :4897" 在 [general] 部分, 参数 mxproxy 为 Multiplexing Proxy 定义了通信接口, 该参数的具体格式如下 : <host> <proxyhost>:<proxyport> <ssl> 上述参数解释如下 : 1)<host> 用于连接的主机名, 即 WinCC OA Server 的 IP 地址 2)<proxyHost> 是包含 Multiplexing Proxy 的主机名 Multiplexing Proxy 可以部署在另外一台计算机上, 本示例中 Proxy 与 Web Server 部署在同一台计算机上 3)<proxyPort> 是 Multiplexing Proxy 的端口号 ( 默认端口号是 5678) 4)<ssl > 是使用的安全模式 wincert 为用于通信的 Windows 认证 ; cert 为使用 SSL 安全连接 [proxy] 部分的参数解释如下 : 参数 server 定义了允许通过 proxy 连接的管理器列表为 WinCC OA Server 的 IP 地址,4897 和 4998 分别是 Data Manager 和 Event Manager 的默认端口号 Page 5-16

6 第三步 : 在项目 TestWebClient 的 config 文件夹中还需要创建一个新文件 config.webclient, 在其中增加如下内容 : [general] data=" " event=" " mxproxy=" :5678 cert" [proxy] server=" :4998" server=" :4897" server=" :4998" server=" :4897" 上述设置的参数解释如下 : 首先在 [general] 中设置 Data 和 Event 的指向, 为 WinCC OA Server 的 IP 地址 ; 如果此处不设置 Data 和 Event 的指向, 则默认值为 WinCC OA Server 的计算机名称参数 mxproxy 的含义与前面介绍的相同, 只是对于 Web Client 而言,Multiplexing Proxy 的主机名为外网发布的地址在 [proxy] 部分, 定义了允许通过 proxy 连接的管理器列表注意, config.webclient 文件的内容用于生成 Web Client 项目的 config 文件, 位于运行 Web Client 计算机的 C:/Users/Administrator/.wincc_oa-cache/TestWebClient/config 文件夹中 2.2 设置路由器在 WinCC OA Web Server 一侧的路由器中, 需要转发端口和和 5678 端口分别是 HTTP HTTPS 和 Multiplexing Proxy 的默认端口请注意, 如果默认端口发生更改, 则在路由器中转发的端口也需要相应改变以一个 Cisco RV042 10/100 4-Port VPN Router 为例登陆路由器后, 找到 Setup 中的 Forwarding, 在列表中加入下述三个端口 : Page 6-16

图 3 设置路由器中的端口转发需要注意以下几个问题 : 1 如果禁用了 Multiplexing Proxy, 则不需要转发端口 5678 2 在 Web Client 一侧的路由器不需要转发端口 2.3 访问 Web 服务器的画面在局域网中, 可以在浏览器中使用 https://10.65.109.121 或 https:// 222.128.29.

7 图 3 设置路由器中的端口转发需要注意以下几个问题 : 1 如果禁用了 Multiplexing Proxy, 则不需要转发端口在 Web Client 一侧的路由器不需要转发端口 2.3 访问 Web 服务器的画面在局域网中, 可以在浏览器中使用或访问 Web 服务器的画面请注意, 如果使用访问时, 需要 Web Client 所在的计算机可以访问外网访问 Web 服务器时会出现提示 There is a problem with this website s security certificate, 点击 Continue to this website (not recommended), 则弹出如下 Security Problem 对话框 : 图 4 Security Problem 对话框 Page 7-16

8 显示上述对话框的原因是没有找到匹配的证书, 在这里可以点击 Accept once 暂时接受一次, 则可以进入 Web Client 初始画面, 但是地址栏的右侧会出现如下红色提示 Certificate Error, 创建和安装 SSL 证书将会解决该问题, 下一章将介绍具体的方法此时, 可以正常进入 Web 服务器的画面进行监控图 5 Certificate Error 提示信息 3 如何实现安全的 Web 访问要实现安全的 Web 访问, 就需要创建和安装 SSL 证书在 WinCC OA 中, 使用了两种类型的 SSL 证书, 分别针对 Web Client 和 Multiplexing Proxy, 针对每种类型都需要创建根证书和主机证书下面介绍如何创建自签名的 SSL 证书 : 在 WinCC OA Server 所在的计算机上的 System Management 中, 点击 Communication 属性页, 找到 SSL Certificates, 用于创建 SSL 证书 3.1 创建 HTTP 根证书在 SSL Certificates 对话框的 Root certificate 一栏中, 点击 Create, 填写的示例内容如下图所示, 详细的解释请参见帮助文档请注意, IP Address 一栏的内容需要设置为外网发布的 IP 地址 : Page 8-16

9 图 6 HTTP 根证书组态对话框点击 Create 按钮, 在项目路径的 config 文件夹将创建两个证书文件 :rootcertificate.pem 和 root-privkey.key 3.2 创建 HTTP 主机证书在 SSL Certificates 对话框的下方设置 Host certificate, 填写的示例内容如下 : Page 9-16

10 图 7 设置 HTTP 主机证书注意, 上图 7 中的 Organization 与图 6 中的 Organization 设置不能相同 ; CN Name 一栏的内容需要设置为外网发布的 IP 地址 Page 10-16

由于创建新项目时, 在 WinCC OA 项目路径的 config 文件夹下会默认生成几个证书文件, 因此点击 Create 按钮后, 会提示下面的对话框询问是否覆盖旧的证书文件, 点击 Yes 按钮确认覆盖图 8 确认覆盖已有同名证书对话框注意, 需要等待弹出如下图 9 所示的消息对话框, 并点击 OK 按钮后, 才能确保证书创建成功然后, 点击 SSL Host

11 由于创建新项目时, 在 WinCC OA 项目路径的 config 文件夹下会默认生成几个证书文件, 因此点击 Create 按钮后, 会提示下面的对话框询问是否覆盖旧的证书文件, 点击 Yes 按钮确认覆盖图 8 确认覆盖已有同名证书对话框注意, 需要等待弹出如下图 9 所示的消息对话框, 并点击 OK 按钮后, 才能确保证书创建成功然后, 点击 SSL Host Certificates 对话框中的 OK 按钮关闭该对话框在项目路径的 config 文件夹创建了两个证书文件 : certificate.pem 和 privkey.pem 图 9 证书创建成功对话框 3.3 创建 PROXY 根证书在 SSL Certificates 对话框的 Root certificate 一栏中, 再次点击 Create 创建 PROXY 根证书, 填写的示例内容如下图所示 : Page 11-16

12 图 10 PROXY 根证书对话框点击 Create 按钮, 在项目路径的 config 文件夹创建了两个证书文件 :root-cert.pem 和 root-key.pem 3.4 创建 PROXY 主机证书在 SSL Certificates 对话框的下方设置 Host certificate, 填写的示例内容如下 : Page 12-16

13 图 11 PROXY 主机证书对话框注意, 上图 11 中的 Organization 与图 10 中的 Organization 设置不能相同 ; CN Name 一栏的内容需要设置为外网发布的 IP 地址 Page 13-16

14 点击 Create 按钮, 参考 3.2 节, 确认图 8 和图 9 中的两个对话框后, 在项目路径的 config 文件夹创建了两个证书文件 :host-cert.pem 和 host-key.pem 注意, 创建完成上述 4 对证书文件后, 需要重启项目, 并确保在日志文件中没有错误信息 3.5 在 Web Client 计算机上安装证书手动拷贝项目路径的 config 文件夹中的 root-certificate.pem 和 certificate.pem 两个文件到 Web Client 所在的计算机上, 重命名为.crt 文件, 双击并安装证书即可请注意, 在弹出的安装向导中, 将证书安装到 Trusted Root Certification Authorities, 如下图所示 : 图 12 安装证书对话框 Page 14-16

3.6 访问 Web 服务器的画面在浏览器中再次运行 Web Client, 则地址栏右上角没有 certificate error 的错误提示, 可以正常进入 Web 服务器的画面进行监控, 如下图所示 : 图 13 正常运行 Web Client 界面此时, 在 Web Client 的项目路径, 可以找到三个证书文件

15 3.6 访问 Web 服务器的画面在浏览器中再次运行 Web Client, 则地址栏右上角没有 certificate error 的错误提示, 可以正常进入 Web 服务器的画面进行监控, 如下图所示 : 图 13 正常运行 Web Client 界面此时, 在 Web Client 的项目路径, 可以找到三个证书文件 host-cert.pem hostkey.pem 和 root-cert.pem 附录 - 推荐网址 WinCC OA (PVSS) 网站首页 : WinCC OA 中文技术论坛 : Page 15-16

16 注意事项应用示例与所示电路设备及任何可能结果没有必然联系, 并不完全相关应用示例不表示客户的具体解决方案它们仅对典型应用提供支持用户负责确保所述产品的正确使用这些应用示例不能免除用户在确保安全专业使用安装操作和维护设备方面的责任当使用这些应用示例时, 应意识到西门子不对在所述责任条款范围之外的任何损坏 / 索赔承担责任我们保留随时修改这些应用示例的权利, 恕不另行通知如果这些应用示例与其它西门子出版物 ( 例如, 目录 ) 给出的建议不同, 则以其它文档的内容为准声明我们已核对过本手册的内容与所描述的硬件和软件相符由于差错难以完全避免, 我们不能保证完全一致我们会经常对手册中的数据进行检查, 并在后续的版本中进行必要的更正欢迎您提出宝贵意见版权西门子 ( 中国 ) 有限公司版权保留复制传播或者使用该文件或文件内容必须经过权利人书面明确同意侵权者将承担权利人的全部损失权利人保留一切权利, 包括复制发行, 以及改编汇编的权利西门子 ( 中国 ) 有限公司 Page 16-16

摘要从 WinCC OA V3.14 及以上版本, 开始支持新的 WinCC OA 客户端 ULC UX 本文介绍 WinCC OA 组态 ULC UX 客户端的具体方法注意事项, 以及如何使用多个 Web Servers 组态负载平衡等关键词 WinCC OA ULC UX 客户端组态

摘要从 WinCC OA V3.14 及以上版本, 开始支持新的 WinCC OA 客户端 ULC UX 本文介绍 WinCC OA 组态 ULC UX 客户端的具体方法注意事项, 以及如何使用多个 Web Servers 组态负载平衡等关键词 WinCC OA ULC UX 客户端组态 WinCC OA 3.14 如何组态 ULC UX 客户端 Getting-started Edition (2017 年 06 月 ) Restricted 摘要从 WinCC OA V3.14 及以上版本, 开始支持新的 WinCC OA 客户端 ULC UX 本文介绍 WinCC OA 组态 ULC UX 客户端的具体方法注意事项, 以及如何使用多个 Web Servers 组态负载平衡等