Fernwartung für SINUMERIK ONE: Ewon Flexy 205 am Systemnetz X120

Wenn eine Werkzeugmaschine beim Kunden steht, entscheidet die Fernwartung oft darüber, ob eine Störung in einer Stunde oder erst nach einer Anreise behoben ist. In diesem Anwendungsfall wird eine SINUMERIK ONE mit einem Ewon Flexy 205 von HMS ausgestattet. Der Router kommt ohne Erweiterungskarte aus, hängt am Systemnetz X120 der Steuerung und bekommt seine Internetverbindung aus dem Kundennetz.

Die Ausgangslage

• Steuerung: SINUMERIK ONE (NCU) mit SINUMERIK Operate, Bedientafel und Maschinensteuertafel am Systemnetz X120.
• Router: Ewon Flexy 205 als Grundgerät, ohne WLAN-, Mobilfunk- oder Zusatz-Ethernet-Karte.
• Internet: Der Kunde stellt einen Netzwerkanschluss mit Internetzugang bereit und gibt die nötigen Ports in seiner Firewall frei.
• Ziel: Der Servicetechniker soll von außen auf PLC, NC und Bedienoberfläche zugreifen können, ohne das Netz des Kunden mit der Maschine zu verbinden.

Der Ewon Flexy 205 ohne Erweiterungskarte

Das Grundgerät bringt laut Datenblatt vier Ethernet-Ports (RJ45, 10/100 Mbit/s) mit. Die Ports lassen sich als LAN oder WAN konfigurieren, Port 1 ist immer LAN. Für diesen Anwendungsfall reicht das völlig aus:

• Ein Port als WAN: Verbindung zum Kundennetz und damit ins Internet.
• Port 1 (LAN): Verbindung zum Systemnetz X120 der SINUMERIK ONE.
• Digitaleingänge: Das Gerät hat zwei Digitaleingänge und einen Digitalausgang. Sie eignen sich zum Beispiel für einen Schlüsselschalter, mit dem der Bediener die Fernwartung freigibt (siehe unten).

Eine Erweiterungskarte braucht man erst, wenn der Router per Mobilfunk oder WLAN ins Internet soll oder wenn zusätzliche getrennte Netze nötig sind.

Warum X120 und nicht X130?

Die NCU der SINUMERIK ONE hat mehrere Ethernet-Schnittstellen mit klarer Rollenverteilung:

Am X120 sieht der Servicetechniker die Maschine so, als stünde er mit seinem PG direkt daneben. Das ist bequem, bedeutet aber auch: Wer Zugang zum Router hat, hat Zugang zur ganzen Maschine. Umso wichtiger ist eine saubere Konfiguration des Flexy, vor allem auf der WAN-Seite.

Adressen im Systemnetz

Im Systemnetz X120 gelten die Standardadressen der SINUMERIK (Netz 192.168.214.0/24):

• NCU: 192.168.214.1
• Feste Adressen weiterer NCUs: .2 bis .9
• DHCP-Bereich der NCU: .10 bis .239 (Bedientafeln, Maschinensteuertafeln usw.)
• PCU: .241, weitere PCUs .242 bis .249
• PGs mit fester Adresse (Service): .250 bis .254

Der Flexy bekommt am LAN eine feste Adresse außerhalb des DHCP-Bereichs, zum Beispiel 192.168.214.250, Netzmaske 255.255.255.0. Wichtig: Der DHCP-Server auf der LAN-Seite des Flexy bleibt aus, denn im Systemnetz vergibt die NCU die Adressen. Zwei DHCP-Server im selben Netz führen zu Teilnehmern, die nicht mehr hochlaufen.

Hinweis: Die Adressbelegung kann im konkreten Projekt angepasst sein. Vor der Inbetriebnahme deshalb in der Netzwerkkonfiguration der Maschine prüfen, welche Adressen tatsächlich belegt sind.

Routing: Wie die Antwort zurückfindet

Der Fernwartungs-PC bekommt über Talk2M eine Adresse aus dem VPN-Bereich, also außerhalb des Systemnetzes. Die Teilnehmer am X120 kennen diesen Bereich nicht. Damit ihre Antworten beim Flexy ankommen, gibt es zwei Wege:

1. NAT auf der LAN-Seite des Flexy (bei HMS „Plug’n Route“ genannt): Der Router setzt die Absenderadresse auf seine eigene LAN-Adresse. Für die NCU sieht jede Anfrage so aus, als käme sie aus dem eigenen Netz, und die Antwort geht direkt an den Flexy zurück. An der Netzwerkkonfiguration der Steuerung muss nichts geändert werden. Für diesen Anwendungsfall ist das der einfachste und robusteste Weg.
2. Flexy als Gateway bzw. statische Route in den Teilnehmern: Die Steuerung schickt Pakete für den VPN-Bereich gezielt an den Flexy. Das bedeutet aber einen Eingriff in die Netzwerkkonfiguration der Maschine und kann mit Einstellungen kollidieren, die der Kunde an anderer Stelle vorgenommen hat.

Internetanschluss beim Kunden: welche Ports?

Der große Vorteil von Talk2M: Der Flexy baut die VPN-Verbindung von innen nach außen auf. In der Firewall des Kunden müssen deshalb keine eingehenden Ports geöffnet werden. Laut HMS braucht der Flexy ausgehend:

Die genauen Adressen der Talk2M-Server nennt HMS in seiner Wissensdatenbank, falls die IT-Abteilung nicht nur nach Ports, sondern auch nach Zielen freigeben will. Auf der WAN-Seite bekommt der Flexy je nach Kundennetz eine feste Adresse oder eine per DHCP, dazu Gateway und DNS-Server. Arbeitet der Kunde mit einem Proxy, lässt sich dieser im Flexy eintragen.

Auch der Fernwartungs-PC mit eCatcher braucht ausgehend Zugang zu Talk2M. Im Büronetz des Maschinenbauers ist das selten ein Problem, in Hotel- oder Gastnetzen manchmal schon.

Inbetriebnahme Schritt für Schritt

1. Firmware aktualisieren: Den Flexy vor dem Einbau auf den aktuellen Firmwarestand bringen.
2. Standard-Zugangsdaten ändern: Das voreingestellte Administrator-Passwort sofort ersetzen.
3. WAN festlegen: Einen der Ports als WAN konfigurieren und mit den Daten aus dem Kundennetz versehen (DHCP oder feste Adresse, Gateway, DNS).
4. LAN einstellen: Feste Adresse im Systemnetz, zum Beispiel 192.168.214.250/24, DHCP-Server aus.
5. Talk2M einrichten: Den Flexy mit dem Assistenten und dem Aktivierungsschlüssel aus dem Talk2M-Konto registrieren.
6. WAN-Schutz aktivieren: Auf der WAN-Seite allen Verkehr außer VPN und selbst aufgebauten Verbindungen verwerfen, Weboberfläche und weitere Dienste am WAN nicht erreichbar machen.
7. Kein Durchreichen: Weiterleitung zwischen WAN und LAN abschalten, damit das Kundennetz nie direkt im Systemnetz landet.
8. NAT auf der LAN-Seite aktivieren, wenn die NCU nicht über den Flexy routen soll (siehe oben).
9. Test: Mit eCatcher verbinden und prüfen, ob die NCU unter 192.168.214.1 erreichbar ist, zum Beispiel online mit dem TIA Portal.

Was der Techniker aus der Ferne machen kann

• TIA Portal online: PLC-Programm beobachten, Bausteine laden, Diagnosepuffer lesen.
• Bedienoberfläche: SINUMERIK Operate per Fernbedienung ansehen und bedienen, je nach Freigabe an der Maschine.
• Daten sichern und tauschen: Inbetriebnahmearchive, Teileprogramme, Maschinendaten.

Welche Ports die einzelnen Siemens-Werkzeuge im Systemnetz nutzen, ist in deren Dokumentation beschrieben. Wer den Zugriff weiter einschränken möchte, kann die erlaubten Dienste im Talk2M-Konto bzw. im Flexy filtern. Ob und wie fein das geht, hängt vom Talk2M-Abo und vom Firmwarestand ab.

Sicherheit: Der Kunde behält die Kontrolle

• Freigabe vor Ort: Über einen Schlüsselschalter am Digitaleingang lässt sich die Fernwartung nur bei Bedarf zulassen. Wie das umgesetzt wird (Konfiguration oder Skript), hängt vom Firmwarestand ab und sollte vorab getestet werden.
• Benutzer und Rechte: In Talk2M jedem Techniker ein eigenes Konto geben, Zwei-Faktor-Anmeldung einschalten, Rechte auf die nötigen Maschinen beschränken.
• Protokollierung: Verbindungen werden in Talk2M aufgezeichnet. Das hilft bei der Nachverfolgung und bei Audits.
• Absprache mit der IT: Die Kunden-IT sollte wissen, welches Gerät da hängt, welche Ports es braucht und wer es betreut. Das schafft Vertrauen und vermeidet gesperrte Verbindungen im Störfall.

Spätestens mit dem Cyber Resilience Act und der neuen Maschinenverordnung ist ein sauber dokumentierter Fernzugang auch eine Frage der Konformität, nicht nur des Komforts.

Fazit

Für eine einzelne SINUMERIK ONE ist der Ewon Flexy 205 ohne Erweiterungskarte eine schlanke Lösung: ein Port zum Kunden, ein Port ins Systemnetz X120, und über Talk2M nur ausgehende Verbindungen. Entscheidend sind wenige, aber wichtige Punkte: eine feste Adresse außerhalb des DHCP-Bereichs, kein zweiter DHCP-Server, NAT auf der LAN-Seite und eine konsequent abgesicherte WAN-Seite. Dann ist die Maschine aus der Ferne erreichbar, und das Netz des Kunden bleibt sauber von der Steuerung getrennt.