Was wir immer gerne machen im Werksnetz ist ein Helmholz Wall-IE als Übergang.
Ich hab ja schon Bedenken einen CP an der CPU einfach den EDVlern auszuliefern...
Da gibt's dann als Einstellung "pauschal alles sperren" = Whitelist und je IP intern + extern inkl. Ports das Routing freizugeben. Die vorhandenen PGs haben von der IT eine fix vergebene IP-Adresse, welche als Instandhaltungszugang im Wall-IE so freigegeben ist zur IP der CPU. Dann funktioniert mit eingetragener Router-Adresse in der HW-Konfig meist auch das Routing zum FU. Je Wall-IE gibt es eine freie, mit der IT abgestimmte, zweite IP (von extern gesehen), die über den Wall-IE intern anders verschaltet wird. Wall-IE funktioniert als NAT-Bridge, das heißt IP extern wird auf IP intern umgeschlüsselt und durchgereicht.
Dann hab ich intern auch meistens den DHCP-Server im CPU-Bereich aktiv für 2-5 Adressen und brauch nicht zuerst die Liste mit IPs durchsuchen, welche IP ich fest in der Netzwerkkarte einstellen muss, damit die Verbindung im direkt angestöpselten PG an der Anlage klappt.
Der Wall-IE liegt preislich etwa bei einem Drittel von den Scalance XC200 Switchen.
Ergänzung: Vom Wall-IE WAN-Port geht's dann auf den EDV-Switch mit VLANS für Anlagennetz und allem PiPaPo.