Anybus Defender Compact 1004 - NAT/FW
Kompaktní průmyslový firewall pro oddělení a zabezpečení strojů, výrobních linek a dalších částí OT sítě před nežádoucím přístupem a síťovými útoky. Pomocí NAT umožňuje připojit do společné nadřazené sítě také více strojů se stejnými IP adresami. Nabízí 1× WAN, 3× LAN a filtrování komunikace podle IP a MAC adres, portů a protokolů. Více
Kód: ABD1004-NATFW
Kompaktní průmyslový firewall pro oddělení a zabezpečení strojů, výrobních linek a dalších částí OT sítě před nežádoucím přístupem a síťovými útoky. Pomocí NAT umožňuje připojit do společné nadřazené sítě také více strojů se stejnými IP adresami. Nabízí 1× WAN, 3× LAN a filtrování komunikace podle IP a MAC adres, portů a protokolů. Více
Kód: ABD1004-NATFW
Anybus Defender Compact 1004 je kompaktní průmyslový firewall pro oddělení a zabezpečení strojů, výrobních linek a dalších částí OT sítě. Pomáhá omezit nežádoucí komunikaci, řešit konflikty IP adres a bezpečně připojit stroje k nadřazeným systémům.
Proč zvolit Anybus Defender Compact 1004?
- Snižuje riziko odstávky výroby – oddělením strojů a výrobních linek omezuje šíření problémů a kybernetických hrozeb do dalších částí sítě.
- Šetří čas a náklady při připojování stejných strojů – pomocí NAT neboli překladu IP adres je můžete zapojit do jedné nadřazené sítě i se shodnými vnitřními IP adresami.
- Povolí pouze potřebnou komunikaci – přístup ke strojům omezuje podle IP a MAC adres, portů a protokolů.
- Zkracuje nastavení firewallu – režim učení zaznamená skutečně používanou komunikaci a pomůže z ní vytvořit pravidla.
- Lze jej doplnit do stávající sítě bez změny IP adres – v zapojení bridge filtruje komunikaci mezi jejími částmi.
- Usnadňuje práci automatizačním technikům – konfigurace probíhá v programu pro Windows s prostředím podobným softwaru pro PLC.
- Je vhodný přímo do průmyslového rozvaděče – má kovové provedení, montáž na DIN lištu a široký rozsah provozních teplot.
Rozsah funkcí Anybus Defender Compact 1004
Anybus Defender Compact 1004 je dostupný pouze ve variantě NAT/FW. Je zaměřený na oddělení sítí, řízení povolené komunikace a řešení konfliktů IP adres pomocí NAT.
Pokud potřebujete také detailní kontrolu průmyslových protokolů, IPS, VPN nebo pokročilé síťové funkce, jsou tyto možnosti dostupné u vyšších modelů Anybus Defender.
Nevíte, jaký Defender zvolit?
Popište nám svou síť a co potřebujete zabezpečit. Doporučíme vhodný model i variantu.
Zapojení a filtrování komunikace
Anybus Defender Compact 1004 se zapojuje mezi síť stroje a nadřazenou výrobní nebo podnikovou síť. Veškerá komunikace mezi oběma částmi sítě prochází přes firewall, který ji podle nastavených pravidel povoluje nebo blokuje.
Pravidla lze nastavit podle IP a MAC adres, komunikačních portů a protokolů. Ve výchozím nastavení je komunikace mezi WAN a LAN blokována, dokud ji nepovolíte pravidly firewallu. V praxi tak můžete například povolit přístup k PLC pouze z určeného servisního počítače, povolit komunikaci se SCADA systémem a ostatní spojení zablokovat.
Dva způsoby zapojení do sítě
Bridge – bez změny IP adres
Při zapojení typu bridge vložíte firewall do stávající sítě bez změny IP adres PLC, HMI a dalších zařízení. Defender se do sítě zapojí transparentně a filtruje komunikaci mezi sítí stroje a nadřazenou sítí.
Tento způsob se hodí hlavně při dodatečném zabezpečení již provozovaného stroje nebo výrobní linky.
Gateway – oddělení sítí a využití NAT
Při zapojení typu gateway pracuje Defender jako router mezi sítí stroje a nadřazenou sítí. Obě strany mohou používat rozdílné rozsahy IP adres a komunikace mezi nimi se řídí pomocí statického směrování, NAT a filtračních pravidel.
NAT (Network Address Translation neboli překlad síťových adres) umožňuje ponechat původní IP adresy uvnitř stroje a v nadřazené síti komunikovat se zařízeními pomocí přeložených adres. To se hodí například při připojování více stejných strojů se shodnou vnitřní adresací, protože nemusíte měnit IP adresy PLC, HMI ani dalších zařízení.
Defender podporuje několik způsobů překladu síťových adres. V praxi využijete zejména:
- SimpleNAT – umožňuje zpřístupnit konkrétní zařízení v síti stroje pod samostatnou IP adresou z nadřazené sítě.
- Network NAT – překládá celou síť a hodí se například při připojování více strojů se shodnou vnitřní IP adresací.
- SNAT – mění zdrojovou IP adresu komunikace a lze jej využít například tehdy, když cílové zařízení nemá správně nastavenou výchozí bránu.
- Přesměrování portů (DNAT) – zpřístupní z nadřazené sítě pouze konkrétní službu nebo komunikační port zařízení uvnitř stroje.
Režim učení – rychlejší nastavení podle skutečného provozu
Režim učení výrazně usnadňuje první nastavení firewallu. Defender zaznamenává probíhající síťovou komunikaci a v konfiguračním programu zobrazí aktivně komunikující zařízení a zachycená spojení.
Nemusíte tak předem ručně dohledávat veškerou komunikaci mezi PLC, HMI, SCADA systémem a dalšími zařízeními. Ze zaznamenaných spojení následně určíte, která komunikace má zůstat povolená, a podle ní vytvoříte filtrační pravidla. Ostatní komunikaci můžete zablokovat.
Grafické prostředí pro nastavení firewallu
Anybus Defender Compact 1004 nastavíte v programu Anybus Defender Compact Manager pro Windows. Grafické prostředí je navržené podobně jako software pro programování PLC a obsahuje průvodce pro základní nastavení firewallu.
V programu nastavíte způsob zapojení bridge nebo gateway, NAT, směrování a filtrační pravidla. Zařízení nemá vestavěné webové rozhraní, čímž se omezuje počet možných cest napadení. Pro konfiguraci a pokročilou správu je k dispozici také příkazová řádka přes SSH.
Technické parametry
Síťová rozhraní a zapojení
- WAN: 1× RJ45, 10/100BASE-T(X)
- LAN: 3× RJ45, 10/100BASE-T(X)
- Bridge: transparentní zapojení do stávající sítě bez změny IP adres připojených zařízení
- Gateway: oddělení sítí pomocí NAT, směrování a filtračních pravidel
- Směrování: statické směrování
NAT a překlad IP adres
- Podporované funkce NAT: SimpleNAT, Network NAT, SNAT a DNAT
- SimpleNAT: zpřístupnění konkrétního zařízení v síti LAN pod samostatnou IP adresou ze sítě WAN
- Network NAT: překlad celé sítě, například při připojování více strojů se shodnou vnitřní IP adresací
- SNAT: překlad zdrojové IP adresy, například pokud cílové zařízení nemá správně nastavenou výchozí bránu
- DNAT (přesměrování portů): zpřístupnění konkrétní služby nebo komunikačního portu zařízení za firewallem
Firewall a filtrování komunikace
- Filtrování: podle MAC adres, IP adres, komunikačních portů a protokolů
- Směr filtrování: WAN–LAN i LAN–WAN
- Výchozí nastavení: paketový filtr je aktivní a komunikace mezi WAN a LAN je blokována
- Režimy filtrování: whitelisting, blacklisting nebo vypnutý filtr
- Režim učení: zaznamenání síťové komunikace pro jednodušší vytvoření filtračních pravidel
- Výstup režimu učení: zobrazení komunikujících zařízení a zachycených spojení v grafickém rozhraní konfiguračního programu
Konfigurace a správa
- Konfigurační program: Anybus Defender Compact Manager pro Windows
- Způsob konfigurace: grafické prostředí podobné programovacímu softwaru pro PLC
- Konfigurace přes USB: USB 2.0 Mini
- Pokročilá konfigurace: příkazová řádka přes SSH
- Webové rozhraní: zařízení nemá vestavěné webové rozhraní
- Síťové služby: klient NTP a klient Syslog
- Digitální vstupy: 2× pro dynamické řízení vybraných filtračních a NAT pravidel
Bezpečnostní funkce
- Secure Boot: ano
- Ochrana konfigurace: konfigurace jsou šifrované a pomocí RSA klíče unikátně spárované s konkrétním zařízením
Napájení
- Napájecí napětí: 10–30 VDC
- Maximální odběr proudu: 250 mA při 24 VDC
Mechanické a provozní údaje
- Rozměry (V × Š × H): 92,6 × 69 × 38,5 mm
- Hmotnost: 235 g
- Materiál krytu: kov
- Stupeň krytí: IP30 při osazení všech portů a rozhraní
- Provozní teplota: −40 až +75 °C
- Skladovací teplota: −40 až +85 °C
- Relativní vlhkost: 0–95 %, bez kondenzace
- Montáž: DIN lišta podle EN 50022
Certifikace a shoda
- Certifikace a shoda: CE a UL
Často kladené dotazy (FAQ) – Anybus Defender Compact 1004
Použití a zapojení
Co je Anybus Defender Compact 1004 a k čemu se používá?
Anybus Defender Compact 1004 je kompaktní průmyslový firewall a router pro oddělení a zabezpečení strojů, výrobních linek a dalších částí OT sítě. Používá se k omezení nežádoucí komunikace, řešení konfliktů IP adres a ochraně zařízení při připojení k nadřazené síti.
Jak oddělit stroj od podnikové sítě a povolit pouze potřebnou komunikaci?
Anybus Defender Compact 1004 se zapojí mezi síť stroje a nadřazenou síť. Pomocí pravidel firewallu lze povolit potřebná spojení podle IP a MAC adres, komunikačních portů a protokolů a ostatní komunikaci blokovat.
Jak zabezpečit provozovaný stroj bez změny jeho síťového nastavení?
Anybus Defender Compact 1004 lze v zapojení bridge vložit do stávajícího síťového propojení bez změny IP adres PLC, HMI a dalších zařízení. Původní adresace zůstane zachována a komunikace mezi sítí stroje a nadřazenou sítí prochází přes firewall.
Jaký je rozdíl mezi zapojením bridge a gateway?
V zapojení bridge je firewall transparentně vložen do stávajícího síťového propojení bez změny IP adres připojených zařízení. V zapojení gateway pracuje jako router mezi sítí stroje a nadřazenou sítí a umožňuje využít statické směrování, NAT a filtrační pravidla.
Firewall a NAT
Jak připojit několik stejných strojů se shodnými IP adresami do jedné sítě?
Pomocí Network NAT lze jednotlivé sítě strojů se shodnou vnitřní adresací zpřístupnit v nadřazené síti pod rozdílnými síťovými rozsahy. Není tak nutné měnit IP adresy PLC, HMI ani dalších zařízení uvnitř stroje.
Jak zpřístupnit konkrétní zařízení nebo službu uvnitř stroje?
Pro přístup ke konkrétnímu zařízení lze použít SimpleNAT, který zařízení v síti LAN zpřístupní pod samostatnou IP adresou ze sítě WAN. Pokud má být dostupná pouze konkrétní služba nebo komunikační port, lze použít přesměrování portů pomocí DNAT.
Podle čeho může Anybus Defender Compact 1004 filtrovat síťovou komunikaci?
Pravidla firewallu lze nastavit podle IP adres, MAC adres, komunikačních portů a protokolů. Filtrování lze nastavit pro komunikaci WAN–LAN i LAN–WAN.
Je komunikace mezi WAN a LAN po prvním zapojení automaticky povolena?
Ne. Ve výchozím nastavení je komunikace mezi WAN a LAN blokována, dokud ji nepovolíte pravidly firewallu.
Jaké funkce NAT podporuje Anybus Defender Compact 1004?
Anybus Defender Compact 1004 podporuje SimpleNAT, Network NAT, SNAT a DNAT. SimpleNAT slouží ke zpřístupnění konkrétního zařízení pod samostatnou WAN adresou, Network NAT k překladu celé sítě, SNAT k překladu zdrojové adresy a DNAT k přesměrování konkrétních služeb nebo portů.
Jak zjistit, která síťová komunikace je pro provoz stroje skutečně potřebná?
Anybus Defender Compact 1004 nabízí režim učení, který zaznamenává síťovou komunikaci a v konfiguračním programu zobrazí komunikující zařízení a zachycená spojení. Technik následně určí, která spojení mají zůstat povolená, a může z nich jednodušeji vytvořit filtrační pravidla.
Lze jednotlivé LAN porty oddělit do samostatných sítí?
Ano. Pomocí pokročilého nastavení přes SSH lze každému LAN portu přiřadit vlastní IP adresu a samostatnou síť. Defender pak může řídit a filtrovat komunikaci mezi těmito sítěmi. V tomto nastavení jsou ale omezené možnosti NAT, proto není vhodné pro běžné scénáře s překladem adres mezi více oddělenými LAN sítěmi.
Konfigurace a správa
Jak se Anybus Defender Compact 1004 nastavuje?
Anybus Defender Compact 1004 se nastavuje v programu Anybus Defender Compact Manager pro Windows. Grafické prostředí je podobné programovacímu softwaru pro PLC a umožňuje nastavit způsob zapojení bridge nebo gateway, NAT, směrování a pravidla firewallu.
Je pro nastavení Anybus Defender Compact 1004 potřeba placený software?
Ne. Bezplatnou verzi programu Anybus Defender Compact Manager lze stáhnout ze stránek výrobce a použít pro konfiguraci zařízení.
Má Anybus Defender Compact 1004 vestavěné webové rozhraní?
Ne. Anybus Defender Compact 1004 nemá vestavěné webové rozhraní. Konfigurace probíhá pomocí programu Anybus Defender Compact Manager nebo prostřednictvím příkazové řádky přes SSH.
Technické provedení a výběr modelu
Kolik ethernetových portů má Anybus Defender Compact 1004 a jakou podporují rychlost?
Anybus Defender Compact 1004 má jeden port WAN a tři porty LAN. Všechny čtyři porty používají konektor RJ45 a podporují rychlost 10/100 Mb/s.
Je Anybus Defender Compact 1004 vhodný pro montáž do průmyslového rozvaděče?
Ano. Anybus Defender Compact 1004 má kovové provedení, montáž na DIN lištu a rozsah provozních teplot od −40 do +75 °C. Napájecí napětí je 10–30 VDC.
Kdy zvolit vyšší model Anybus Defender?
Anybus Defender Compact 1004 je vhodný především pro zabezpečení jednoho stroje nebo menší části výrobní sítě pomocí firewallu, NAT a směrování. Vyšší modely Anybus Defender jsou vhodnější, pokud potřebujete gigabitovou komunikaci, více oddělených síťových segmentů nebo pokročilé bezpečnostní funkce, například hloubkovou kontrolu průmyslové komunikace (DPI), detekci průniků nebo VPN pro bezpečný vzdálený přístup.
Webinář: Zkroťte NIS2 s novými defendry a PLC backupem
Na srpnovém webináři se můžete těšit hned na dvě novinky na českém trhu. První je nový software pro řešení automatického zálohování a správy řídicích systémů. Díky druhé novince zajistíte správnou segmentaci OT sítě. A koukneme se i na (ne)bezpečnou vzdálenou správu.
Novinka na trhu: Průmyslové firewally Anybus Defender pro zabezpečení a segmentaci OT sítí
Nové Anybus Defendery jsou špičkovými průmyslovými firewally pro segmentaci OT sítí, řešení IP konfliktů, DPI inspekci a splnění normy IEC 62443 i směrnice NIS2. Pomůžeme vám vybrat ideální model pro váš provoz.
Zvýrazněné položky jsou povinné.