26
Standortübergreifendes Routing ohne Default Gateway bei den Clients
Hallo zusammen,
einer unserer Kunden baut gerade ein standortübergreifendes, geroutetes Netz auf.
Hier gibt es seitens der SPS Welt ein Problem.
Ein Typ der SPS kann nicht mit einem Gateway versehen werden, soll aber mehrere Verbindungen mit anderen SPSen auf mehreren Standorten herstellen.
Wie könnte man das denn wohl am besten lösen?
einer unserer Kunden baut gerade ein standortübergreifendes, geroutetes Netz auf.
Hier gibt es seitens der SPS Welt ein Problem.
Ein Typ der SPS kann nicht mit einem Gateway versehen werden, soll aber mehrere Verbindungen mit anderen SPSen auf mehreren Standorten herstellen.
Wie könnte man das denn wohl am besten lösen?
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 238044
Url: https://administrator.de/contentid/238044
Ausgedruckt am: 26.11.2024 um 06:11 Uhr
26 Kommentare
Neuester Kommentar
Hallo,
was ist denn ein Typ der SPS?
Komplett unabhängig: Du wirst ohne Routen nicht auf fremde Netze zugreifen können, anders funktioniert eine VPN leider nicht.
Grüße
was ist denn ein Typ der SPS?
Komplett unabhängig: Du wirst ohne Routen nicht auf fremde Netze zugreifen können, anders funktioniert eine VPN leider nicht.
Grüße
Eine Siemens F-SPS. Laut Siemens können die nicht routen.
Im Kopf habe ich gerade das ganze standortübergreifend mittels VLANs zu lösen, dann sollte das funktionieren. Zumindest in meinem Kopf :D
Im Kopf habe ich gerade das ganze standortübergreifend mittels VLANs zu lösen, dann sollte das funktionieren. Zumindest in meinem Kopf :D
Ich würde gerne vom Gegenteil überzeugt werden, aber mMn geht auch das leider nicht.
Ein Typ der SPS kann nicht mit einem Gateway versehen werden, soll aber mehrere Verbindungen mit anderen SPSen auf mehreren
Standorten herstellen.
Standorten herstellen.
Ohne Gateway geht das schlecht. wie soll die SPS denn sonst wissen, welchem System im lokalen IP-Netz sie das Paket geben muß, damit das weitergeleitet wird. Es könnte natürlich auch Kommentar oben nicht annehme.
Wie könnte man das denn wohl am besten lösen?
Mehre Möglichkeiten:
- Stell einfach eine Kiste (z.B. RasPi) in Dein Netz, das 1:1-NAT von lokalen Adressen zu Adressen im VPN übersetzt.
- Leg ein Layer2-VPN über Das Kundennetz. Das dürfte aber wegen der Broadcasts und ggf. IP-Konflikten meist zu Problemen führen.
lks
Hallo,
also "routen" müssen sie eigentlich nicht können sondern lediglich ein Default Gateway ermöglichen, das kann jeder Netzwerkdrucker....
Falls die tatsächlich nur ein flaches Netz können wäre noch D-NAT auf einer extra Maschine/Router möglich, das ist aber wirklich hässlich.
Gruß
Andi
also "routen" müssen sie eigentlich nicht können sondern lediglich ein Default Gateway ermöglichen, das kann jeder Netzwerkdrucker....
Falls die tatsächlich nur ein flaches Netz können wäre noch D-NAT auf einer extra Maschine/Router möglich, das ist aber wirklich hässlich.
Gruß
Andi
Zitat von @ralf.beckmann:
Eine Siemens F-SPS. Laut Siemens können die nicht routen.
Im Kopf habe ich gerade das ganze standortübergreifend mittels VLANs zu lösen, dann sollte das funktionieren. Zumindest
in meinem Kopf :D
Eine Siemens F-SPS. Laut Siemens können die nicht routen.
Im Kopf habe ich gerade das ganze standortübergreifend mittels VLANs zu lösen, dann sollte das funktionieren. Zumindest
in meinem Kopf :D
Sers,
mit Mikrotik lässt sich deine VLAN Idee umsetzen. Hier mal die Basis.
Alternativ - speziell wenn du auf Layer2 setzen musst - ist EoIP noch eine Möglichkeit.
Grüße,
Philip
Wäre nett wenn du, @ralf-beckmann, nachdem für dich das Problem gelöst ist, uns noch berichten könntest auf welchem Wege du dein Problem nun in den Griff bekommen hast, und ob auch alles so geklappt hat wie du es dir vorgestellt hast.
Danke dir schon mal im Voraus.
Danke dir schon mal im Voraus.
Alles klar, das dauert aber noch ein wenig. Die Netzwerktechnik beim Kunden ist noch in der Ausschreibung.
Hallo,
Kannst bitte mal die genaue Typenbezeichnung der Siemens SPS posten?
Laur unseres Siemens Vertrieblers gibt es keine SPS die nicht mit einem Gateway umgehen kann...
Bei der S7 muss z.B. der Haken gesetzt werden bei "Router verwenden" dort wird dann die Gateway IP Adresse eingetragen....
Brammer
Kannst bitte mal die genaue Typenbezeichnung der Siemens SPS posten?
Laur unseres Siemens Vertrieblers gibt es keine SPS die nicht mit einem Gateway umgehen kann...
Bei der S7 muss z.B. der Haken gesetzt werden bei "Router verwenden" dort wird dann die Gateway IP Adresse eingetragen....
Brammer
Das betrifft auch nicht die SPS an sich, sondern da wird eine sichere Verbindung aufgebaut zwischen den SPSen und das Sicherheitsprotokoll der F-Technik kann das nicht.
Hallo,
Mitte 2014 und Siemens hat IPv4 immer noch nicht begriffen....
Das lässt mich hoffen...das ich mich bis zur Rente nicht mehr mit IPv6 im Maschinennetz beschäftigen muss... also noch gut über 20 Jahre
Lässt sich nun auf der SPS ein Gateway eintragen oder nicht?
Und, was soll das
den für ein Protokoll sein?
brammer
Mitte 2014 und Siemens hat IPv4 immer noch nicht begriffen....
Das lässt mich hoffen...das ich mich bis zur Rente nicht mehr mit IPv6 im Maschinennetz beschäftigen muss... also noch gut über 20 Jahre
Lässt sich nun auf der SPS ein Gateway eintragen oder nicht?
Und, was soll das
Sicherheitsprotokoll der F-Technik
den für ein Protokoll sein?
brammer
Das ist ein proprietäres Protokoll zwischen den F-Baugruppen, und das ist laut Siemens nicht routingfähig.
Zitat von @ralf.beckmann:
Das ist ein proprietäres Protokoll zwischen den F-Baugruppen, und das ist laut Siemens nicht routingfähig.
Das ist ein proprietäres Protokoll zwischen den F-Baugruppen, und das ist laut Siemens nicht routingfähig.
Wird doch nicht etwa NetBEUI oder gar ArcNET sein?
lks
Ich glaube dann muesste ich eine Vorstandsbeschwerde auslösen :DDD
Das ist ein proprietäres Protokoll zwischen den F-Baugruppen, und das ist laut Siemens nicht routingfähig.
Aber es ist ein Ethernet Frame, richtig ? Oder machen die auf dem Ethernet was Siemens proprietäres ?Auch wenn dem so ist ist das doch überhaupt kein Problem das über ein geroutetes Netzwerk zu übertragen.
Was du brauchst ist einen kleiner Router (oder auch ein großer) der VPLS als Feature versteht. Das ist eine Layer 2 Emulation über geroutete Layer 3 Netze hinweg !
So kannst du alle SPS über alle Standorte über ein VPLS VLAN im Layer 2 transparent verbinden und dann "sehen" sich alle SPSen wieder weil sie "denken" sie sind in einem gemeinsamen Ethernet Segment. Es ist quasi sowas wie ein Layer 2 VPN.
Ein simpler Klassiker und der o.a. genannte Mikrotik 750 macht dir das für popelige 35 Euro pro Standort !
Wo ist also dein wirkliches Problem ?
Also, du kannst bei der Siemens F-CPU ein Gateway eingeben, so wie weiter oben schon geschrieben. Was nicht funktioniert ist eine Profinet (F) Kopplung über den VPN. Ich hoffe mal stark, das du keine sicheren Signale über die Standorte verteilen willst. Dies macht ja auch keinen Sinn.
Datenübertragung über den VPN auf andere SPSen z.B. mittles FB14 und FB15 ist aber problemlos möglich.
Datenübertragung über den VPN auf andere SPSen z.B. mittles FB14 und FB15 ist aber problemlos möglich.
Sauber. Das habe ich gebraucht. Und genau das ist die Anforderung. Es MÜSSEN sichere Signale über mehrere Standorte geschickt werden, das hat selbst der TÜV im Vorfeld schon abgenommen, nur Siemens kam erst ganz spät damit um die Ecke, obwohl die in die Planung involviert waren.
Also keine Chance???
Also keine Chance???
Darf ich mal fragen, was die Anwendung ist? Ich kann mir nämlich absolut keine Anwendung vorstellen, wo es Sinn macht "sichere" Signale um den Planeten zu schicken...
Prinzipiell ist aber eine sicherheitsgerichtete Kommunikation zwischen F-CPUs ja möglich, allerdings heißt es von Siemens:
"Sicherheitsgerichtete CPU-CPU-Kommunikation ist nicht über öffentliche Netzwerke zulässig."
Prinzipiell ist aber eine sicherheitsgerichtete Kommunikation zwischen F-CPUs ja möglich, allerdings heißt es von Siemens:
"Sicherheitsgerichtete CPU-CPU-Kommunikation ist nicht über öffentliche Netzwerke zulässig."
Es gibt mehrere Bedienplätze einer Leitzentrale mit einer Sicherheitsstoppfunktion und F-SPS, die flexibel 18 Gewerken zugeordet werden, je nachdem welche man überwachen will/muss. Heißt, bei der aktuell in Überwachung befindlichen Steuerung wird zwischen der F-SPS und der Zentrale und des Gewerks eine Verbindung aufgebaut, die eine Sicherheitsfunktion (Not-Halt) verknüpft.
Es ist ja keine öffentliche Leitung zwischen den Standorten. Sind betriebseigene Glasfasern, allerdings standortbezogen geroutet.
Es ist ja keine öffentliche Leitung zwischen den Standorten. Sind betriebseigene Glasfasern, allerdings standortbezogen geroutet.
Ahh OK. Dann sieht das schon ganz anders aus.
Kannst du nicht die zentrale SPS mit entsprechenden CPs ausstatten, und die "physikalisch" direkt mit den einezelnen Standorten verbinden? Alternativ sofern freie Adern in den LWL Strecken, vorhanden sind ein eigenes "sicheres" Netzwerk dafür aufbauen?
Kannst du nicht die zentrale SPS mit entsprechenden CPs ausstatten, und die "physikalisch" direkt mit den einezelnen Standorten verbinden? Alternativ sofern freie Adern in den LWL Strecken, vorhanden sind ein eigenes "sicheres" Netzwerk dafür aufbauen?
Genau das geht halt nicht, weil die die Hardware und die Netze mehrfach redundant ausgelegt sind und sich das Netz durch halb Rheinland-Pfalz ziehen von den Strecken her.
Also technisch sicher machbar, aber nicht gewünscht...Und würde sicher auch richtig teuer seitens der Hardware.
Also technisch sicher machbar, aber nicht gewünscht...Und würde sicher auch richtig teuer seitens der Hardware.
Und würde sicher auch richtig teuer seitens der Hardware.
Nein, das ist Unsinn. Am einfachsten erledigt das ein Mikrotik 750er Router:Mikrotik RB750 - Quick Review
Kostets 30 Euro und supportet VPLS. Damit wäre das sehr preiswert über ganz Rheinland Pfalz zu lösen...wenn man denn will !
Möglichkeit wäre das bestimmt.
Ich kann mir aber nicht vorstellen, das diese Lösung offiziell irgendwie freigegben ist.
Eine professionellere, und vorallem Industrielle Lösung wäre wohl ein Router wie z.B. hier beschrieben.
http://www.insys-icom.de/bausteine.net/f/10325/CG_de_Verbinden_zweier_S ...
Dieser unterstützt offizielle S7-Verbindungen...
Würde das jetzt ja gerne mal im Versuch ausprobieren... hab aber leider keine F-CPUs hier...
Ich kann mir aber nicht vorstellen, das diese Lösung offiziell irgendwie freigegben ist.
Eine professionellere, und vorallem Industrielle Lösung wäre wohl ein Router wie z.B. hier beschrieben.
http://www.insys-icom.de/bausteine.net/f/10325/CG_de_Verbinden_zweier_S ...
Dieser unterstützt offizielle S7-Verbindungen...
Würde das jetzt ja gerne mal im Versuch ausprobieren... hab aber leider keine F-CPUs hier...
das diese Lösung offiziell irgendwie freigegben ist.
WAS bitte meinst du genau damit ??VPLS ist eine weltweit standardtisierte Layer 2 Bridging Tunneltechnologie wie PPTP, IPsec oder ähnlich. Ethernet Pakete die damit übertragen werden "denken" sie laufen über eine einfache Bridge !
Was soll also "offiziell freigegeben" bitte bedeuten ?!? Es ist ja sicher auch offiziell freigegeben diese Frames über einen Switch oder ein Kupferkabel zu übertragen.
Oder meinst du das das firmenintern "freigegeben" sein muss solche Anwendung...das ist dann natürlich eine andere Sache...wäre aber genauso unverständlich wenn es schnell und unkompliziert dein Problem bzw. deine Anforderung löst ?!
Schon klar. Aber hier geht es um Schutz von Personen. Wenn der TO hier z.B. Not-Halt Funktionen realisieren will, die ggf. Personen vor Verletzungen oder Tod schützen müssen würde ich dies nicht auf Basis eines 50€ Routerboards aufbauen wollen.
Die dafür eingesetzten Komponeneten sind alle geprüft und zertifiziert und erfüllen die notwendige Kategorie um es für solche Anwendungen zu verwenden. Für Safety Anwendungen hab ich auch keine geeigneten Router gefunden. Dies ist auch so nicht gewünscht/vorgesehen. Macht für mich auch wenig sinn, da ja kein direkter Einblick in die Anlage möglich ist.... aber dennoch - wenn so was realisiert wird, dann bitte mit Industrie-Komponenten und nicht mit Routerboards...
Schätzungsweise reden wir momentan von Anlagen im Gesamtwert >50 Millionen Euro, da kommt es auf ein paar Euro für ne Industielle Lösung sicher nicht an.
Die dafür eingesetzten Komponeneten sind alle geprüft und zertifiziert und erfüllen die notwendige Kategorie um es für solche Anwendungen zu verwenden. Für Safety Anwendungen hab ich auch keine geeigneten Router gefunden. Dies ist auch so nicht gewünscht/vorgesehen. Macht für mich auch wenig sinn, da ja kein direkter Einblick in die Anlage möglich ist.... aber dennoch - wenn so was realisiert wird, dann bitte mit Industrie-Komponenten und nicht mit Routerboards...
Schätzungsweise reden wir momentan von Anlagen im Gesamtwert >50 Millionen Euro, da kommt es auf ein paar Euro für ne Industielle Lösung sicher nicht an.
würde ich dies nicht auf Basis eines 50€ Routerboards aufbauen wollen.
Das mag psychologisch natürlich richtig sein technisch ist das diskussionswürdig. Aber so oder so... dafür gibts ja dann auch den 300 Euro Cisco Router der das exakt genauso macht aber den TO vielleicht etwas ruhiger schlafen lässt un puncto Verlässlichkeit und Nachhaltigkeit, denn wer Cisco kauft macht ja bekanntlich nix falsch !Das Cisco alle Zertifizierungen usw. hat steht ja außer Frage und die Mehrkosten spielen da dann bei dem o.a. Gesamtvolumen auch keinerlei Rolle mehr, klar. Im Gegenteil da kann man dann ja auch ein 1000 Euro Modell nehmen um ganz sicher zu gehen und wirklich alle Anforderungen an diese Infrastruktur sicher zu supporten. Inklusive Wartung usw.
Generell ist diese Anforderung an so eine geartete Netzwerk Infrastruktur it einer Layer 2 Emulation über WAN Links ja mit der richtigen Netzwerkhardware und diesen Mechanismen vollkommen einfach und problemlos zu lösen. Mal ganz abgesehen von den Einzelkosten der Komponenten ist das ja ein simples Allerweltsszenario im SP Bereich.
Die grundlegende Frage die hier aber immer mehr durchkommt ist ob man das denn wirklich will oder eben deine obigen anderen Argumente generell dagegen sprechen.
Dann aber muss man den Umkehrschluss ziehen und sagen das das grundlegende Konzept schlicht falsch ist und die Infrastruktur Planung ja generell vollkommen falsch ist und neu überdacht werden muss !
1
