西门子工业电机经销总代理商有关 TCON_IP_4_SEC 系统数据类型的更多信息，请参见 STEP 7在线帮助。有关安全通信的更多信息，请参见“安全通信 (页 44)”部分。5.6.4.4 通过 CP 接口进行安全 OUC连接在以下章节中，将介绍通过 CP 接口进行开放式用户安全通信时应注意的特殊事项。至少一个站为 S7-1500 站，并包含以下模块：•S7-1500 CPU 固件版本 V2.0 及以上版本（S7-1500 软件控制器除外）• CP 1543-1 固件版本 V2.0及以上版本，或 CP 1543SP-1 V1.0 及以上版本该 CP 在 S7-1500 站中将作为 TLS 客户端（主动建立连接）或TLS 服务器（被动建立连接）。通过 CP 接口进行安全通信的基本操作步骤与概念，与通过 S7-1500 CPU接口进行安全通信的类似。在此，必须将证书分配给作为 TLS 服务器或 TLS 客户端的 CPU，而非其它CPU。也可使用其他角色和操作步骤。在下文中，将对此进行详细介绍。以下规则普遍适用：在入全局安全设置中，需登录证书管理器。生成自签名的证书时，需登录全局安全设置。需要具有足够的用户权限（管理员权限，或具有“安全组态”权限的“标准”用户）。在CP 中，可在“安全 > 安全属性”(Security > Security properties)部分生成或分配证书。在此部分中，可登录全局安全设置。操作步骤：1. 在 STEP 7 的网络视图中，选中该 CP并在巡视窗口中选择“安全 > 安全属性”(Security >Security properties) 部分。2.单击“用户登录”(User logon) 按钮。3. 使用用户名和密码进行登录。4. 启用“激活安全功能”(Activatesecurity functions) 选项。系统将初始化相应的安全属性。5. 单击“设备证书”(Devicecertificates) 表格的第一行，生成一个新的证书或选择现有的设备证书。6. 如果通信伙伴也是一个 S7-1500站，则需按照上述操作，使用 STEP 7 为通信伙伴或该S7-1500 CPU 指定一个设备证书。示例：通过 CP 接口，在两个S7-1500 CPU 之间建立 TCP 安全连接要在两个 S7‑1500 CP 之间建立 TCP 安全通信，需为每个 CPU手动创建 TCON_IP_V4_SEC 系统数据类型的数据块，并分配相应参数，之后在 TSEND_C、TRCV_C 或 TCON指令中直接调用该数据块。要求：• 这两个 S7 1500 CPU 的固件版本为 V2.0 及以上版本如果使用 CP1543SP-1：固件 V1.0 及以上版本。• 这两个 CP（如 CP 1543-1）的固件版本必须 V2.0 及以上版本• TLS客户端和 TLS 服务器具有所需的全部证书。– 必须为该 CP 生成设备证书（Zui终实体证书）并存储在该 CP的证书存储器中。如果通信伙伴是一个外部设备（如，MES 或 ERP 系统），则需确保该设备上包含有设备证书。–对通信伙伴设备证书进行签名的 root 证书（CA 证书）也必须位于该 CP的证书存储器中，或位于外部设备的证书存储器中。如果使用中间证书，则必须确保所验证设备中的证书路径完整。设备将通过这些证书验证通信伙伴的设备证书。•这些通信伙伴需通过 IPv4 地址进行寻址，而不能通过域名进行寻址。
工控机等工业自动化的设计、技术开发、项目选型安装调试等相关服务是专业从事工业自动化控制系统、机电一体化装备和信息化软件系统
集成和硬件维护服务的综合性企业。与西门子品牌合作，只为能给中国的客户提供值得信赖的服务体系，我们
的业务范围涉及工业自动化科技产品的设计开发、技术服务、安装调试、销售及配套服务领域。建立现代化仓
储基地、积累充足的产品储备、引入万余款各式工业自动化科技产品，我们以持续的卓越与服务，取得了年销
售额10亿元的佳绩，凭高满意的服务赢得了社会各界的好评及青睐。其产品范围包括西门子S7-SMART200、S7-200CN、S7-300、S7-400、S7-1200、S7-1500、S7-ET200SP等各类工业自动化产品。西门子授权代理商、西门子一级代理商 西门子PLC模块代理商﹐西门子模块代理商供应全国范围：
我们还提供。
西门子中国授权代理商——浔之漫智控技术（上海）有限公司，本公司坐落于松江工业区西部科技园，西边和全球zhuming芯片制造商台积电毗邻，
东边是松江大学城，向北5公里是佘山国家旅游度假区。轨道交通9号线、沪杭高速公路、同三国道、松闵路等
交通主干道将松江工业区与上海市内外连接，交通十分便利。
目前，浔之漫智控技术（上海）有限公司将产品布局于中、高端自动化科技产品领域，
PLC模块S7-200、S7-1200、S7-300、S7-400、ET200分布式I/O等
HMI触摸屏、SITOP电源、6GK网络产品、ET200分布式I/O SIEMENS驱动产品MM系列变频器、G110 G120变频器、直流调速器、电线电缆、
驱动伺服产品、数控设备SIEMENS低压配电与控制产品及软起动器等
图 5-28 通过 CP 接口，在两个 S7-1500 CPU 之间进行 OUC 安全连接的证书处理操作。TLS 客户端的设置要在 TLS客户端中建立安全的 TCP 连接，请按以下步骤操作：1. 在项目树中，创建一个全局数据块。2. 在该全局数据块中，定义一个数据类型为TCON_IP_4_SEC 的变量。为此，需在“数据类型”(Data type)字段中输入字符串“TCON_IP_V4_SEC”。以下示例中显示了全局数据块“Data_block_1”，其中，定义了数据类型为TCON_IP_V4_SEC的变量“SEC 连接 1 TLS 客户端”(SEC connection 1TLS-Client)。该接口 ID 的值为本地 CP（TLS 客户端）中 IE 接口的硬件标识符。3. 在“起始值”(Startvalue) 列中，设置 TCP 连接的连接参数。例如，在“RemoteAddress”中输入 TLS 服务器的 IPv4 地址。4.在“起始值”(Start value) 列中，设置安全通信的参数。–“ActivateSecureConn”：激活该连接的安全通信。如果该参数的值为FALSE，则忽略后面的安全参数。此时，可建立非安全的 TCP 或 UDP 连接。–“TLSServerCertRef”：输入值“2”（引用 TIA Portal 项目 (SHA256) 的 CA证书），或输入值“1”（引用 TIA Portal 项目 (SHA1) 的 CA 证书）。如果使用不同的 CA证书，则需在证书管理器的全局安全设置中输入相应的 ID。– “TLSClientCertRef”：自身 X.509-V3 证书的ID。5. 在程序编辑器中，创建一个 TSEND_C、TRCV_C 或 TCON 指令。6. 将 TSEND_C、TRCV_C 或TCON 指令的 CONNECT 参数与 TCON_IP_V4_SEC 数据类型的变量进行互连。TLS 服务器的设置要在 TLS服务器中建立安全的 TCP 连接，请按以下步骤操作：1. 在项目树中，创建一个全局数据块。2. 在该全局数据块中，定义一个数据类型为TCON_IP_4_SEC 的变量。以下示例中显示了全局数据块“Data_block_1”，其中，定义了数据类型为TCON_IP_V4_SEC的变量“SEC 连接 1 TLS 服务器”(SEC connection 1TLS-Server)。该接口 ID 的值为本地 CP（TLS 服务器）中 IE 接口的硬件标识符。在“起始值”(Startvalue) 列中，设置安全通信的参数。– “ActivateSecureConn”：激活该连接的安全通信。如果该参数的值为FALSE，则忽略后面的安全参数。此时，可建立非安全的 TCP 或 UDP 连接。–“TLSServerReqClientCert”：TLS 客户端需具有 X.509-V3 证书。输入值“true”。–“TLSServerCertRef”：自身 X.509-V3 证书的 ID。–“TLSClientCertRef”：输入值“2”（引用 TIA Portal 项目 (SHA256) 的 CA证书），或输入值“1”（引用 TIA Portal 项目 (SHA1) 的 CA 证书）。如果使用不同的 CA证书，则需在证书管理器的全局安全设置中输入相应的 ID。5. 在程序编辑器中，创建一个 TSEND_C、TRCV_C 或 TCON指令。6. 将 TSEND_C、TRCV_C 或 TCON 指令的 CONNECT 参数与 TCON_IP_V4_SEC数据类型的变量进行互连。上传设备作为新站在将带有证书的组态进而组态的开放式用户安全通信作为新站上传到 STEP 7 项目中时，与CPU的证书不同，CP 的证书不会上传。在将设备加载为新站后，在 CP的设备证书表格中不会包含更多证书。上传后，需对证书进行组态。否则，重新加载组态将导致 CP之前存在的证书删除，无法进行安全通信。通过 CPU 和 CP 接口的 OUC 安全连接（操作相似）• 连接资源：OUC 和安全 OUC之间无差别。编程的 OUC 安全连接将使用诸如 OUC 连接之类的连接资源，而不考虑与该站通信的 IE/PROFINET 接口。•连接诊断：OUC 和 OUC 安全连接诊断之间无差别。• 将带有 OUC 安全连接的项目加载到 CPU 中：如果还需加载证书，则只能CPU STOP 模式下进行。建议：加载到设备 > 硬件和软件 (Load to device > Hardwareand software)。原因：需确保带有安全 OUC 的程序、硬件配置和证书一致。证书随硬件配置一同加载。加载过程中需要停止CPU 的运行。仅当所需的证书位于模块中时，才能在 RUN 模式下重新加载使用其它 OUC 安全连接的块。5.6.4.5 通过Modbus TCP 进行 OUC 安全连接要进行 Modbus TCP 安全连接，需手动创建一个 TCON_IP_V4_SEC 或TCON_QDN_SEC 系统数据类型的数据块，分配相应参数并在 MB_Server 或 MB_CLIENT指令中直接调用该数据块。要求：• S7‑1500 CPU 固件版本 V2.5 或更高版本• Modbus 客户端（TLS客户端）可通过网络中的 IP 通信访问 Modbus 服务器（TLS 服务器）。• TLS 客户端和 TLS服务器具有所需的全部证书。 与Modbus TCP 服务器建立 Modbus TCP 安全连接的示例在下文章节中，介绍如何通过 Modbus TCP 在Modbus TCP 客户端与 Modbus TCP 服务器之间建立开放式用户安全通信。要在 Modbus TCP 客户端（TLS客户端）与 Modbus TCP 服务器（TLS 服务器）之间建立安全连接并设置邮件服务器的 Ipv4 地址，请按以下步骤操作：1.在项目树中，创建一个全局数据块。2. 在该全局数据块中，定义一个 TCON_IP_V4 SEC 数据类型的变量。图5-31 TCON_IP_V4_SEC3. 在“起始值”(Start value) 列中，设置 TCP连接的连接参数。例如，在“MailServerAddress”中输入邮件服务器的 IPv4 地址。4. 在“起始值”(Startvalue) 列中，设置安全通信的参数。例如，在“TLSServerCertRef”中输入通信伙伴的 CA 证书的证书 ID。–“ActivateSecureConn”：激活该连接的安全通信。如果该参数的值为 FALSE，则忽略后面的安全参数。此时，可设置一个Modbus TCP 非安全连接。– “TLSServerCertRef”：对 Modbus TCP 服务器中 X.509 V3(CA) 证书的引用，TLS 客户端使用该信息对 Modbus TCP 服务器进行身份验证。5. 在程序编辑器中，创建一个MB_CLIENT 指令。6. 将 MB_Client 指令的 CONNECT 参数与 TCON_IP_4_SECC数据类型的变量进行互连。通过电子邮件实现 OUC通过 CPU接口建立与邮件服务器的安全连接要建立与邮件服务器的安全通信，需手动创建一个 TMAIL_V4_SEC 或 TMAIL_QDN_SEC系统数据类型的数据块，分配参数并在 TMAIL_C 指令中直接调用该数据块。要求：• TMAIL_C 指令，版本 V5.0或更高版本• STEP 7 V15 及更高版本• S7‑1500 CPU V2.5 及更高版本• 已经为 CPU（TLS客户端）分配了邮件服务器（TLS 服务器）的所有 CA 证书，且组态已下载到 CPU 中。• 在 CPU中，设置当前的日期和时间。与邮件服务器建立安全连接的操作过程与邮件服务器建立安全连接时，可选择以下两种操作过程：•SMTPS：客户端尝试与邮件服务器立即建立 TLS 连接（“握手”过程）如果邮件服务器不支持TLS，则不建立连接。•STARTTLS：客户端与邮件服务器建立 TCP 连接。客户端将发送一个请求，“更新”当前通过TCP 连接与 TLC安全连接的连接。如果邮件服务器支持 TLS，则客户端将发生该命令建立安全连接。为此，邮件服务器将使用 SMTP命令“STARTTLS”。之后，客户端将建立与邮件服务器的安全连接。优势：如果邮件服务器不支持TLS，则客户端和邮件服务器之间可进行非安全通信。在块参数“MAIL_ADDR_PARAM”的数据类型中设置“远程端口”(RemotePort)，可定义进行通信的进行。表格 5-5 SMTPS 和 STARTTLS 进程的端口号进程 端口SMTPS：4651STARTTLS： 任意端口 (≠465)21 指令 TMAIL_C 仅在 465 端口采用 SMTPS通信协议。其它所有端口将使用 STARTTLS 通信协议。2 根据 RFC，邮件服务器使用端口 25，而 STARTTLS安全连接则使用端口 587。RFC 不建议 SMTP 使用其它端口号，否则无法确保与邮件服务器的通信成功。示例：通过 IPv4与邮件服务器建立安全连接在以下章节中，将介绍如何使用 TMAIL_C 通信指令与 IPv4 邮件服务器建立安全连接要通过邮件服务器的IP4 地址建立安全连接，请按以下步骤操作：1. 在项目树中，创建一个全局数据块。2. 在该全局数据块中，定义一个TMAIL_V4_SEC数据类型的变量。在以下示例中，显示了一个全局数据块“MailConnDB”，其中，定义了数据类型为TMAIL_V4_SEC的变量“MailConnectionSEC”。图 5-32 数据类型 TMAIL_V4_SEC3.在“起始值”(Start value) 列中，设置 TCP连接的连接参数。例如，在“MailServerAddress”中输入邮件服务器的 IPv4 地址。说明连接参数接口ID请注意，在数据类型 TMAIL_V4_SEC 中，如果指令 TMAIL_C 的指令版本为 V5.0 或更高版本，则需在接口 ID中输入值“0”。此时，CPU 将自行搜索适用的本地 CPU 接口。4. 在“起始值”(Start value)列中，设置安全通信的参数。例如，在“TLSServerCertRef”中输入通信伙伴的 CA 证书的证书 ID。–“ActivateSecureConn”：激活该连接的安全通信。如果该参数的值为FALSE，则忽略后面的安全参数。此时，可建立非安全的 TCP 或 UDP 连接。–“TLSServerCertRef”：对电子邮件服务器中 X.509 V3 (CA) 证书的引用，供 TLS客户端用来对邮件服务器进行身份验证。5. 在程序编辑器中，创建一个 TMAIL_C 指令。