Fonction de passerelle Modbus - EcoStruxure Panel Server Cybersecurity Guide

Présentation

Panel Server implémente une fonction de passerelle Modbus. Il peut traiter les requêtes reçues des clients Modbus TCP/IP connectés en amont de telle sorte que chaque client peut accéder simultanément aux données des équipements en aval connectés par :

réseau sans fil IEEE 802.15.4 (selon le modèle)
ou réseau câblé Modbus-SL (modèles Universal et Advanced)

Le nombre maximum d’équipements Modbus TCP/IP connectés à un même Panel Server est 128 et comprend les équipements connectés physiquement à Panel Server ainsi que tout type d’équipement connecté à une passerelle enfant. Pour plus d’informations, reportez-vous à Configuration maximale.

Le protocole Modbus échange des informations en utilisant un mécanisme de requête-réponse entre un client (anciennement maître) et un serveur (anciennement esclave). Le principe client-serveur est un modèle de protocole de communication dans lequel un équipement (le client) contrôle un ou plusieurs autres équipements (les serveurs). Par le passé, le client Modbus était appelé Maître et le serveur Modbus était appelé Esclave.

Disponibilité

Cette fonction est disponible sur Panel Server Entry, Universal et Advanced.

Fonctionnement de la passerelle Modbus

Panel Server implémente ses propres registres Modbus (disponibles à l’ID d’unité 255) pour fournir ses informations d’identification. La table de registres de Panel Server est décrite dans DOCA0241EN EcoStruxure Panel Server - Modbus File.

Par défaut, la passerelle Modbus prête à l’emploi utilise l’ID d’unité de la requête Modbus TCP/IP en tant que ID d’unité / ID de serveur de l’équipement Modbus-SL physique.

Pour les équipements Modbus TCP/IP, lors de la procédure de mise en service, un ID de serveur virtuel est ajouté à un équipement Modbus TCP/IP pour permettre l’accès en cas de topologie séparée ou pour activer la fonction de proxy Modbus TCP.

Panel Server implémente un ensemble de tables de registres Modbus virtuelles par équipement sans fil IEEE 802.15.4 détecté. Chaque fois qu’un nouvel équipement sans fil est détecté par Panel Server, un ID de serveur Modbus virtuel lui est automatiquement attribué. Le premier équipement sans fil détecté reçoit l’ID de serveur virtuel 100. Cet ID est ensuite incrémenté automatiquement d’une unité pour chaque nouvel équipement détecté. Pour plus d’informations sur les registres des équipements sans fil pris en charge, reportez-vous à DOCA0241EN EcoStruxure Panel Server - Modbus File.

Pour éviter les conflits entre les ID de serveur des équipements physiques Modbus-SL et les ID de serveur virtuel des équipements sans fil, il est possible de mettre à jour l’ID de serveur virtuel à l’aide du logiciel EcoStruxure Power Commission ou des pages Web Panel Server (sous Paramètres > Produits sans fil, choisissez un équipement connecté et modifiez la valeur du paramètre Modbus virtuel > ID de serveur virtuel).

NOTE: La fonction de passerelle Modbus ne doit pas être confondue avec une passerelle réseau ou un routeur. Panel Server ne réalise aucun routage et n’effectue aucun transfert au niveau de la couche réseau (IP).

Passerelle transparente Modbus

Panel Server peut également se comporter en tant que passerelle transparente entre Modbus-SL et Modbus TCP/IP. Il convertit les requêtes de client Modbus TCP/IP reçues sur l’ID d’unité X en requêtes Modbus-SL ou Modbus TCP/IP envoyées sur l’ID de serveur X. Les réponses obtenues des équipements en aval sont ensuite transmises en amont au client Modbus TCP/IP.

Lorsqu’il est utilisé comme passerelle transparente, le client (par exemple, SCADA) est connecté via une connexion Modbus TCP/IP. Les paramètres Modbus-SL définis pour cette connexion ne sont pas pris en compte.

Lorsque Panel Server est utilisé comme passerelle transparente, vous pouvez effectuer une détection des équipements en aval à des fins de test (par exemple, pour vérifier le statut connecté). Après avoir vérifié la connexion, supprimez les équipements en aval de la liste des équipements connectés dans les pages Web de Panel Server pour maintenir une communication optimale entre les systèmes de périphérie en amont et les équipements en aval.

Définitions Modbus : ID d’unité / ID de serveur et ID de serveur virtuel

Pour permettre à un client Modbus TCP/IP externe d’accéder à un équipement connecté à Panel Server, chaque équipement doit avoir un ID unique appelé ID de serveur virtuel.

L’ID de serveur virtuel est automatiquement attribué :

lorsqu’un équipement sans fil est connecté à Panel Server.
chaque fois qu’un équipement Modbus
@experts: Modbus added in front of device. Confirm this is correct.
est créé et associé à un ID d’unité d’équipement/ID de serveur.

L’ID d’unité/ID de serveur correspond à :

l’ID d’unité configuré de tout équipement connecté au port série RS485,
l’ID d’unité configuré d’un équipement Modbus TCP/IP connecté, ou
l’ID d’unité utilisé par une passerelle Modbus TCP/IP qui relie un équipement à un réseau Ethernet.

Panel Server utilise les règles suivantes pour attribuer l’ID de serveur virtuel lorsqu’un équipement en aval est détecté ou ajouté :

Pour les équipements Modbus-SL, si l’ID de serveur physique/ID d’unité (ou adresse Modbus) n’est pas déjà utilisé comme ID de serveur virtuel par un autre équipement, il est attribué comme ID de serveur virtuel. Dans le cas contraire, le premier ID de serveur virtuel disponible entre 1 et 254 est attribué, à partir de l’identifiant 1.
Pour les équipements sans fil, le premier ID de serveur virtuel disponible entre 1 et 254 est attribué, à partir de l’identifiant 100.
Pour les équipements Modbus TCP/IP, le premier ID de serveur virtuel disponible entre 1 et 254 est attribué, à partir de l’identifiant 200.

IMPORTANT: Il est recommandé de définir une adresse physique Modbus comprise entre 1 et 99 pour les équipements Modbus-SL.

Compte tenu de cette recommandation, dans la plupart des configurations avec moins de 100 équipements Modbus-SL, moins de 100 équipements sans fil et moins de 48 équipements Modbus TCP/IP, l’ID de serveur virtuel est automatiquement attribué comme suit :

L’ID de serveur physique des équipements Modbus-SL est attribué comme ID de serveur virtuel et compris entre 1 et 99.
L’ID de serveur virtuel des équipements sans fil est compris entre 100 et 199.
L’ID de serveur virtuel des équipements Modbus TCP/IP est compris entre 200 et 254.

L’ID de serveur virtuel peut être modifié à l’aide du logiciel EcoStruxure Power Commission ou dans les pages Web de Panel Server (reportez-vous aux paramètres Détection Modbus). L’ID de serveur virtuel doit être unique.

Le logiciel EcoStruxure Power Commission et les pages Web de Panel Server fournissent les informations suivantes pour chaque équipement (reportez-vous à Ajout d’équipements Modbus) :

ID de serveur virtuel
Connexion :
- ID d’unité/ID de serveur pour les équipements Modbus-SL
- Adresse IP des équipements distants et ID d’unité/ID de serveur pour les équipements Modbus TCP/IP
- ID RF pour les équipements sans fil
Type d’équipement, tel que défini dans les paramètres de l’équipement

Pour plus d’informations sur la gestion des conflits entre ID de serveur virtuel, reportez-vous à Exemple de conflit entre ID de serveur Modbus et résolution.

Pour des exemples d’utilisation de l’ID de serveur virtuel afin d’accéder aux données des équipements en aval en fonction de l’architecture de communication, reportez-vous à Exemples de routage Modbus.

Activation du service Modbus TCP/IP

Pour renforcer la sécurité de l’accès aux données et éviter tout accès malveillant aux données des équipements à partir d’une connexion en amont, le serveur Modbus TCP/IP peut être activé/désactivé au niveau de chaque interface (ETH1 / ETH2 (sauf modèle Entry) / Wi-Fi) dans les pages Web de Panel Server, sous Paramètres > Communication réseau > Services > Activation des services de communication.

Ne désactivez pas le service Modbus sur le port ETH1, ETH2 ou Wi-Fi si l’interface est utilisée pour connecter le logiciel EcoStruxure Power Commission ou un logiciel de surveillance tel que SCADA.

Exemples d’architectures types pour lesquelles le service Modbus TCP/IP est désactivé pour la connexion en amont :

Architecture	Configuration du service Modbus TCP/IP
Panel Server connecté aux pages Web de Panel Server et à des équipements Modbus et sans fil	Pour autoriser l’accès uniquement à l’application en amont (comme un navigateur Web), il est recommandé de désactiver le service Modbus sur les ports Ethernet et le Wi-Fi. Cela évite tout accès malveillant aux équipements en aval.
Panel Server connecté au cloud et en mode séparé aux équipements Modbus et sans fil	Lorsque le réseau Ethernet est configuré en mode séparé, il est recommandé d’effectuer les opérations suivantes : Désactiver le service Modbus sur le port ETH1 de Panel Server pour éviter tout accès malveillant aux données des équipements en aval. Activer le service Modbus sur le port ETH2 de Panel Server pour permettre l’acquisition de données à partir des équipements en aval uniquement si vous devez connecter un client Modbus TCP/IP sur ETH2 via le logiciel EcoStruxure Power Commission.

Architecture

Configuration du service Modbus TCP/IP

Panel Server connecté aux pages Web de Panel Server et à des équipements Modbus et sans fil

Pour autoriser l’accès uniquement à l’application en amont (comme un navigateur Web), il est recommandé de désactiver le service Modbus sur les ports Ethernet et le Wi-Fi. Cela évite tout accès malveillant aux équipements en aval.

Panel Server connecté au cloud et en mode séparé aux équipements Modbus et sans fil

Lorsque le réseau Ethernet est configuré en mode séparé, il est recommandé d’effectuer les opérations suivantes :

Désactiver le service Modbus sur le port ETH1 de Panel Server pour éviter tout accès malveillant aux données des équipements en aval.
Activer le service Modbus sur le port ETH2 de Panel Server pour permettre l’acquisition de données à partir des équipements en aval uniquement si vous devez connecter un client Modbus TCP/IP sur ETH2 via le logiciel EcoStruxure Power Commission.

Conflit d’ID de serveur Modbus et résolution

Avec le mécanisme de détection et d’ajout ci-dessus, Panel Server attribue toujours un serveur virtuel disponible et unique à chaque équipement.

Cependant, il est possible d’attribuer le même ID de serveur virtuel à deux équipements lors de la mise en service.

Pour résoudre ce problème, mettez à jour l’ID de serveur virtuel pour l’un des deux équipements en choisissant un ID de serveur disponible.

Exemple de conflit entre ID de serveur Modbus et résolution

Dans l’exemple suivant, Panel Server est utilisé comme passerelle avec les équipements suivants installés dans le tableau électrique :

Une centrale de mesure PM3250 communiquant via Modbus-SL et configurée avec l’ID de serveur 100
Un PowerTag Energy

Découvrez le conflit généré par la séquence suivante et comment le résoudre :

Connectez la centrale de mesure PM3250 configurée avec l’ID de serveur 100 au port de communication Modbus RS485 de Panel Server.
Mettez l’équipement Panel Server sous tension.
Depuis l’outil de surveillance connecté en amont, vous pouvez accéder aux registres Modbus de PM3250 en envoyant des requêtes Modbus TCP/IP à l’ID d’unité 100 du serveur Modbus de Panel Server.
Dans le logiciel EcoStruxure Power Commission, détectez Panel Server et accédez à la page d’accueil de Panel Server sans passer par une détection d’équipements Modbus-SL. Lancez une première détection des équipements sans fil depuis la fiche prévue à cet effet. Le capteur PowerTag Energy est alors détecté et ajouté à Panel Server.

Résultat : Un ID de serveur virtuel égal à 100 est automatiquement attribué au capteur PowerTag Energy. Comme cet ID est identique à celui de PM3250, il y a conflit.
Si vous envoyez des requêtes Modbus TCP/IP à l’ID d’unité 100 du serveur Modbus de Panel Server :
- Les registres virtuels de PowerTag Energy sont disponibles.
- Vous ne pouvez plus envoyer de requêtes à la centrale de mesure PM3250.
- La centrale de mesure PM3250 est désormais masquée par l’équipement virtuel.
Pour résoudre le conflit, vous devez mettre à jour l’ID de serveur virtuel sur une valeur autre que 100, depuis la configuration des équipements sans fil à l’aide du logiciel EcoStruxure Power Commission.

Proxy Modbus TCP/IP

Panel Server peut agir comme proxy Modbus TCP pour un équipement Modbus TCP/IP connecté à Panel Server. Cette fonction permet de connecter simultanément plusieurs équipements à un équipement TCP/IP offrant une seule connexion TCP/IP.

Avec cette fonction, le système de communication en amont établit autant de connexions TCP/IP que l’exige Panel Server. Il utilise pour cela l’ID de serveur virtuel de l’équipement Modbus TCP/IP géré par Panel Server. Panel Server établit une connexion unique à l’équipement Modbus TCP/IP en aval.

Pour plus d’informations sur le routage Modbus et l’attribution des ID de serveur virtuel Modbus, reportez-vous à Exemples de routage Modbus.