第3章 Profinet安全通信配置

3、Profinet安全通信配置：Profinet安全等级与加密通信

各位工程师，咱们今天聊聊Profinet的安全通信。说实话，工业总线这块，以前大家都不太在意安全，觉得物理隔离就够了。但自从我在一个汽车焊装车间里亲眼看到有人通过未加密的Profinet报文篡改了机器人速度参数……嗯，从那以后，我对安全通信就特别上心。

Profinet的安全等级，说白了就是三个台阶。你站在哪个台阶上，决定了你的系统有多抗揍。

我个人习惯，只要设备支持，起步就是Class 2。为什么？因为Class 1太依赖物理环境了，你想想看，一个U盘插上去，或者一个调试笔记本接错网口，整个网络就裸奔了。Class 3虽然最安全，但配置复杂，对CPU性能也有要求，不是所有老设备都能扛得住。

我的经验： 在西门子S7-1500上启用Class 3时，记得检查固件版本。低于V2.9的固件，TLS握手会有延迟，我曾经因为这个被现场调试搞到凌晨三点。

TLS加密，说白了就是给Profinet报文穿上一件防弹衣。配置步骤其实不复杂，但坑不少。

第一步：生成证书

你可以在TIA Portal里直接生成自签名证书，也可以用企业CA签发的证书。我建议用后者，尤其是跨工厂互联时，自签名证书的管理会让你崩溃。

// TIA Portal中启用TLS的典型步骤
1. 打开设备视图 → 选择CPU → 属性
2. 找到"安全" → "证书管理器"
3. 点击"创建新证书" → 填写CN（通用名称）
4. 选择密钥长度：至少2048位
5. 勾选"用于TLS通信"
6. 导出公钥，分发给通信伙伴

第二步：配置通信伙伴

双方都要导入对方的公钥。这里有个细节——我遇到过好几次，工程师只导入了自己的证书，忘了导入对方的。结果就是：加密通道建立不起来，但PLC不报错，只是通信超时。排查起来特别头疼。

注意： TLS加密会引入约5-15ms的额外延迟。对于运动控制这类实时性要求高的场景，建议只在非实时通道（如参数读写）上启用TLS，RT/IRT通道保持原样。

Profinet里有两个东西最容易成为攻击目标：RPC（远程过程调用）和S7通信（西门子私有协议）。

RPC用于组态和诊断，S7用于PLC之间的数据交换。这两个端口如果完全开放，等于把家门钥匙挂在门外。

我建议的防火墙规则：

RPC端口（TCP 135, 49152-49155）： 只允许工程站IP访问。其他设备一律拒绝。
S7通信端口（TCP 102）： 只允许白名单内的PLC IP互相访问。我曾经见过一个案例，某工厂的S7端口对所有子网开放，结果一个上位机误操作，把整个产线的配方数据全覆盖了。
DCP协议（UDP 34964）： 这是Profinet的设备发现协议。建议在运行阶段关闭，否则任何人都能通过Wireshark抓到你的设备拓扑。

  避坑指南： 我曾经在一条电池产线上，因为防火墙规则写得太死，导致PLC无法与HMI建立S7连接。排查了两天才发现——防火墙规则里把HMI的IP写错了最后一位。所以，配置完规则后，一定要做双向通信测试。

下面这张图，是我自己总结的Profinet安全通信配置逻辑。你照着这个思路走，基本不会漏掉关键环节。

你看这个图，从上到下，先选等级，再配加密和防火墙，最后一定要做测试验证。少了哪一步，都可能出问题。

一个小技巧： 配置完TLS后，用Wireshark抓个包看看。如果看到"Client Hello"和"Server Hello"后面跟着"Change Cipher Spec"，说明加密通道建起来了。如果只有"Alert"，嗯……回去检查证书吧。

好了，Profinet安全通信这块，核心就是这三个东西：等级选对、加密配好、防火墙设严。你按这个思路去配置，基本不会出大问题。