Modbus TCP

Navigation: Konfiguration > Dienste > Modbus TCP

Die Seite Modbus TCP konfiguriert den integrierten Modbus TCP-Server der IRF1000. Bei Aktivierung akzeptiert das Gerät eingehende Modbus TCP-Verbindungen von einem SCADA-System, einer SPS oder einem anderen Modbus-Client und ermöglicht es externen Systemen, verschiedene Gerätefunktionen über Modbus-Register zu überwachen und zu steuern -- beispielsweise das Aufbauen oder Trennen von VPN-Verbindungen. Der Server unterstützt nur eine gleichzeitige Client-Verbindung. Der Zugriff kann durch einen IP-Adressfilter eingeschränkt und durch ein hexadezimales Passwort geschützt werden. Der Modbus TCP-Dienst lauscht auf einem konfigurierbaren Port (Standard: 502) und sollte in Verbindung mit dem Paketfilter eingesetzt werden, um zu steuern, welche Netzwerksegmente den Dienst erreichen dürfen.

Einstellungen

Modbus-TCP-Server aktivieren

Aktiviert den Modbus TCP-Server. Bei Aktivierung lauscht das Gerät auf dem konfigurierten Serverport auf eingehende Modbus TCP-Verbindungen. Bei Deaktivierung werden keine Modbus TCP-Anfragen angenommen.

Serverport

Definiert den TCP-Port, auf dem der Modbus TCP-Server auf eingehende Anfragen wartet. Wird dieses Feld leer gelassen, wird der Modbus TCP-Standardport 502 verwendet.

IP-Adressfilter

Schränkt ein, welche Clients sich mit dem Modbus TCP-Server verbinden dürfen. Geben Sie eine IP-Adresse oder ein Subnetz in CIDR-Notation ein (z.B. 192.168.0.0/24), um nur Clients aus diesem Bereich zuzulassen. Es kann sich nur ein Client gleichzeitig verbinden. Wird dieses Feld leer gelassen, kann sich jeder Client verbinden. Es wird dringend empfohlen, den Zugriff auf ein vertrauenswürdiges Netzwerksegment einzuschränken.

Passwort

Ein optionales achtstelliges hexadezimales Passwort für den Modbus TCP-Zugriff (z.B. 0x1a2b3c4d). Der Wert wird ohne das Präfix 0x eingegeben -- das Präfix wird automatisch angezeigt. Wenn das Passwort gesetzt ist (nicht leer und nicht Null), muss ein neu verbundener Client zunächst die korrekten High-Order- (erste vier Stellen) und Low-Order-Werte (letzte vier Stellen) in die Passwortregister schreiben, bevor er auf andere Register zugreifen darf.

Passwort bestätigen

Geben Sie das hexadezimale Passwort zur Bestätigung erneut ein. Dieses Feld muss exakt mit dem Passwort-Feld übereinstimmen.

Erweitertes Logging

Aktiviert die erweiterte Protokollierung für den Modbus TCP-Dienst. Standardmäßig werden nur Zugriffsverletzungen protokolliert (z.B. abgelehnte Verbindungen aufgrund von IP-Adressfilter-Einschränkungen oder fehlerhaften Passwortversuchen). Bei Aktivierung dieser Option werden zusätzliche Informationen über Verbindungen, Anfragen und Verarbeitungszeiten im Eventlog aufgezeichnet. Deaktivieren Sie das erweiterte Logging im Normalbetrieb, um das Protokollvolumen zu reduzieren.

ACHTUNG

Das Modbus TCP-Protokoll überträgt Daten unverschlüsselt über das Netzwerk. Jeder Client mit Netzwerkzugang zum konfigurierten Port kann einen Verbindungsversuch unternehmen. Konfigurieren Sie stets einen IP-Adressfilter und setzen Sie ein Passwort, um unbefugten Zugriff zu verhindern. Setzen Sie den Modbus TCP-Port nicht gegenüber nicht vertrauenswürdigen Netzwerken frei.

Sicherheit

Aktivieren Sie den Modbus TCP-Server nur, wenn er für die Geräteverwaltung über Modbus aktiv benötigt wird. Schränken Sie den Zugriff über den IP-Adressfilter auf das minimal erforderliche Subnetz ein. Setzen Sie ein starkes hexadezimales Passwort und kombinieren Sie es mit Paketfilter-Regeln, um einzuschränken, welche Hosts den Dienst-Port erreichen können. Wird der Modbus TCP-Dienst nicht mehr benötigt, deaktivieren Sie ihn, um die Angriffsfläche zu reduzieren. Aktivieren Sie das erweiterte Logging nur vorübergehend zur Fehlersuche, da es detaillierte Verbindungsinformationen aufzeichnet, die sicherheitsrelevant sein können.