Die openXEdge nimmt aus dem Netz nur Verbindungen auf Ports an, die auf ihrer Freigabeliste stehen. Alles andere wird verworfen — auch Dienste, die auf dem Gerät zwar laufen, aber von außen nichts zu suchen haben: die eigene Oberfläche des AppStores, die von AppStore-Anwendungen geöffneten Ports, die IDEA-4S-Bridge, das IO-Link-Relais und der Druckdienst, der mit dem Kiosk-Browser mitkommt. Auf dem Gerät selbst und zwischen seinen Diensten ändert die Firewall nichts.

Sie brauchen diese Seite, wenn Sie einen der Systemports aus dem Netz sperren wollen, oder wenn eines Ihrer Systeme einen Port erreichen soll, der nicht ohnehin offen ist — etwa die Weboberfläche einer Anwendung aus dem AppStore oder das IO-Link-Relais für einen DataStore außerhalb der Edge.

Systemports

Das sind die Ports, die die Edge absichtlich anbietet. Im Auslieferungszustand sind sie alle offen; die Seite Einstellungen → Firewall zeigt sie unter Systemports mit ihrem Zweck.

Port	Wofür	Sperren
22/tcp	Wartungszugang für den Brinkhaus-Service	nur mit Bestätigung
5000/tcp	Bedienoberfläche, unverschlüsselt	ohne Rückfrage
5443/tcp	Bedienoberfläche, verschlüsselt	nur mit Bestätigung
1883/tcp	MQTT-Broker	nur mit Bestätigung

Einen Systemport sperren

1. Melden Sie sich als Administrator an und öffnen Sie Einstellungen → Firewall.
2. Schalten Sie in der Zeile des Ports Offen fürs Netz aus. Bei Ports, deren Verlust etwas kostet, nennt die Edge die Folge und fragt nach — ohne 22 kommt der Brinkhaus-Service nicht mehr aus der Ferne auf das Gerät, ohne 5443 gibt es keine verschlüsselte Bedienung aus dem Netz, ohne 1883 keine MQTT-Abnehmer.
3. Klicken Sie Speichern und anwenden.

Einer der beiden Bedienports 5000 und 5443 bleibt immer offen; die Edge lässt nicht beide zugleich sperren, sonst wäre sie nur noch am eigenen Bildschirm bedienbar. Öffnen geht jederzeit ohne Rückfrage.

Wenn Sie sich ausgesperrt haben: Über die Flottenverwaltung gibt es die Aktion Firewall: Systemports wieder öffnen. Sie öffnet alle gesperrten Systemports wieder und lässt Ihre eigenen Regeln unangetastet; sprechen Sie Ihren Ansprechpartner an.

Einen Port oder Port-Bereich freigeben

1. Melden Sie sich als Administrator an und öffnen Sie Einstellungen → Firewall.
2. Klicken Sie unter Von Ihnen geöffnet auf Regel hinzufügen.
3. Wählen Sie das Protokoll (TCP oder UDP) und tragen Sie den ersten und den letzten Port des Bereichs ein. Für einen einzelnen Port lassen Sie Bis Port leer.
4. Optional: Beschränken Sie die Freigabe mit Quellnetz auf ein Netz in CIDR-Schreibweise, zum Beispiel 192.168.0.0/24. Leer bedeutet: von überall.
5. Ein Kommentar hilft, die Regel später wiederzuerkennen.
6. Klicken Sie Speichern und anwenden. Die Regel gilt sofort und bleibt nach einem Neustart erhalten.

Eine Regel entfernen Sie mit dem ✕ in ihrer Zeile und Speichern und anwenden.

Beispiel: Ein DataStore auf einem anderen Rechner mit der Adresse 192.168.0.50 soll den IO-Link-Master über das Relais der Edge lesen. Dafür braucht es zwei Dinge: die Adresse in der Freigabeliste des Relais (siehe IO-Link-Master konfigurieren) und hier eine Regel TCP, Port 8082, Quellnetz 192.168.0.50/32.

Wenn eine Regel abgelehnt wird

Die Edge prüft jede Regel, bevor sie etwas ändert: Ports müssen zwischen 1 und 65535 liegen, der erste Port darf nicht größer sein als der letzte, das Quellnetz muss eine gültige CIDR-Angabe sein. Bei einem Fehler bleibt die bisherige Freigabeliste unverändert; die Meldung nennt die betroffene Regel.

Firewall abschalten

Mit dem Schalter Firewall aktiv und Speichern und anwenden schalten Sie die Firewall ganz ab. Die Edge antwortet dann wieder auf allen Ports, so wie vor Einführung der Firewall. Das ist für die Fehlersuche gedacht, nicht für den Dauerbetrieb.

Gut zu wissen

• Der Zustand der Firewall (aktiv, zuletzt angewendet, letzter Fehler) steht oben rechts auf der Seite. Schlägt das Anwenden fehl, meldet die Edge das auch in der Diagnose (Code 6005) und versucht es beim nächsten Start erneut.

• Anwendungen aus dem AppStore, die Sie direkt über ihren Port erreichen wollen, brauchen ab dieser Firmware eine Regel. Über die Bedienoberfläche der Edge bleiben sie ohne Regel erreichbar, und untereinander sowie mit der IDEA-4S-Bridge sprechen sie weiterhin ohne Freigabe.

• Zeigt die Seite an, dass der Wartungsdienst zu alt ist, fehlt der Edge noch die Firmware mit der Firewall — dann ist auch noch nichts gesperrt.