Web Server Siemens S7-1500

El objetivo es dejar operativo el Web Server integrado de un PLC Siemens S7-1500, pero no solo para entrar y ver diagnóstico. Vamos a cerrarlo con usuario, activar comunicación segura mediante HTTPS y publicar una pequeña pantalla View of Things diseñada desde TIA Portal.

La prueba se ha realizado con una CPU 1515-2 PN simulada en PLCSIM Advanced. La IP del PLC en el laboratorio es 192.168.1.156; la IP 192.168.1.154 corresponde a la tarjeta de PLCSIM Advanced. En una instalación real solo habría que sustituir la IP del PLC por la de la CPU física.

Siemens documenta que las CPU S7-1500 disponen de servidor web integrado con activación por interfaz, acceso mediante HTTPS y autenticación mediante gestión local o central de usuarios. Para View of Things, Siemens lo define como una aplicación web HTML5 alojada en la memoria del PLC y abierta desde el navegador a través del Web Server.

Referencias oficiales usadas para contrastar el flujo: Web server en S7-1500, seguridad del Web Server, usuarios y roles S7-1500 y View of Things para PLC.

En las propiedades de la CPU entramos en Web server y habilitamos el servidor web sobre la interfaz Ethernet que vayamos a usar. Es importante revisar que la interfaz activada coincide con la IP por la que vamos a acceder desde el navegador.

Después compilamos y descargamos la configuración al PLC o a la instancia de PLCSIM Advanced. Si el Web Server no responde, antes de tocar certificados conviene comprobar tres cosas sencillas: IP correcta, interfaz correcta y que la carga de hardware se ha aplicado.

Con el Web Server activado, abrimos el navegador contra la IP del PLC. En el laboratorio:

https://192.168.1.156/

Al principio el navegador puede marcar la página como no segura. Es normal si todavía no hemos instalado la CA o si estamos usando un certificado que el PC no reconoce.

Sin usuario con permisos podremos ver poco o entrar en modo limitado. Para usar el Web Server como herramienta real de diagnóstico y operación necesitamos pasar por la gestión de usuarios.

En TIA Portal V19 y superiores, con firmware actual, la gestión se realiza desde Security settings > Users and roles. La idea es crear un usuario, crear un rol con derechos de Web Server y asignar ese rol al usuario.

En este ejemplo se crea el usuario phs y un rol con permisos sobre el Web Server. Así evitamos dejar el acceso abierto y podemos controlar qué puede hacer cada usuario.

Después de descargar la configuración, entramos con ese usuario. Ahora el menú del Web Server ya muestra más funciones y podemos consultar páginas como diagnóstico, estado de la CPU, información de módulos o buffers, dependiendo de los permisos asignados.

Para que la conexión sea confiable desde el navegador necesitamos un certificado de servidor y que el PC confíe en la entidad que lo ha firmado. Con el Certificate Manager de TIA Portal podemos generar un certificado para el Web Server y firmarlo con la CA del proyecto.

Un detalle importante: si accedemos por IP, esa IP debe estar contemplada en el certificado. Si cambia la IP de la CPU, conviene regenerar y volver a cargar el certificado.

Generamos el certificado para el Web Server y lo seleccionamos en la configuración de seguridad del servidor web de la CPU.

Para que Windows y el navegador confíen en la conexión, exportamos tanto el certificado del Web Server como el certificado de la CA del proyecto. En este caso la CA es el propio proyecto de TIA Portal.

Después importamos la CA en el almacén de certificados de Windows, dentro de Entidades de certificación raíz de confianza. Windows mostrará un aviso porque estamos decidiendo confiar en esa CA; si es nuestro proyecto y estamos en laboratorio, aceptamos.

Volvemos a abrir la URL del PLC y el navegador ya muestra la conexión como segura. En este punto el acceso al Web Server no solo pide usuario, sino que viaja cifrado por HTTPS.

Para comprobar que realmente estamos cifrando, capturamos tráfico entre el PC y la tarjeta de red de PLCSIM Advanced. En la consola se ve la IP de la interfaz utilizada por la simulación.

En Wireshark ya no veremos páginas, credenciales ni valores en claro. Veremos tráfico TLS/HTTPS entre el navegador y el PLC, que es justo lo que buscamos antes de plantearnos usar el Web Server fuera de un laboratorio.

View of Things, o VoT, permite crear una visualización web sencilla con tecnología HTML5 y servirla desde el propio S7-1500. Las pantallas se diseñan en TIA Portal usando el editor y las dinamizaciones de WinCC Unified, pero el runtime se abre desde el Web Server del PLC.

Para un panel pequeño de diagnóstico o mando local puede ser muy práctico: no montamos una HMI completa, pero sí tenemos una pantalla web con tags del PLC.

Los tags se generan en la parte HMI y se pueden vincular con variables del DB. Para pantallas pequeñas, arrastrar variables desde el DB acelera mucho el trabajo porque TIA Portal crea la variable HMI asociada.

Después configuramos la pantalla de inicio de VoT. Si queremos que al entrar al Web Server aparezca la pantalla de operación y no la página de sistema, seleccionamos la página de View of Things como página por defecto.

Hay dos puntos que conviene no olvidar. Primero, el Web Server y View of Things deben compilarse por separado cuando cambiamos la parte web. Segundo, en la carga al PLC hay que marcar la actualización de la aplicación VoT; si no, el PLC seguirá sirviendo la versión anterior.

Al acceder de nuevo al Web Server, iniciamos sesión con el usuario que ya tiene permisos asignados. Si hemos configurado VoT como página por defecto, el navegador nos llevará directamente a la pantalla de control después del login.

Con esto queda cerrado el circuito completo: Web Server activado, acceso con usuario, certificado HTTPS confiable en el PC, comunicación cifrada y una pantalla View of Things cargada en el PLC.

• Activar solo la interfaz necesaria: no habilitar el Web Server en redes donde no haga falta.
• Usar HTTPS siempre: el acceso HTTP o certificados no confiables pueden servir en laboratorio, no como estado final.
• Crear usuarios nominales: evitar usuarios genéricos compartidos para operación o mantenimiento.
• Limitar permisos por rol: diagnóstico, lectura, control o administración no deberían ser lo mismo.
• Regenerar certificados si cambia la IP o el nombre: el navegador validará el certificado contra el destino usado.
• Compilar y cargar VoT explícitamente: si la pantalla no cambia, revisar primero la compilación/carga del Web Server.
• Validar con una captura: Wireshark ayuda a confirmar que no estamos enviando credenciales o datos en claro.

Para revisar las funciones soportadas y las limitaciones de View of Things, conviene tener a mano la documentación oficial de Siemens sobre instalación y funciones de View of Things.

• Comunicación segura de PLC Siemens con HMI y PC/PG
• Servidor OPC UA Siemens S7-1500: TIA Portal V20 y PLCSIM
• OPC UA seguro en Siemens S7-1500: certificados, UA Expert y Sign & Encrypt
• Sniffer OPC UA en PLC Siemens con UA Expert
• Trace en TIA Portal: cómo encontrar un fallo fantasma
• Simatic 1200/1500 Servidor Web S7-1200

Como conclusión práctica: el Web Server del S7-1500 no es solo una página de diagnóstico. Bien configurado, puede ser una herramienta útil para mantenimiento y pequeñas pantallas web, siempre que no se deje abierto de cualquier manera. Usuario, roles, HTTPS y certificados no son decoración; son la diferencia entre una prueba cómoda y una configuración mínimamente defendible.