Wat is EtherNet/IP?
EtherNet/IP is een open industrieel communicatieprotocol dat het Common Industrial Protocol (CIP) over standaard Ethernet en TCP/IP transporteert, zodat PLC’s, sensoren, actuatoren, HMI’s, drives en robots realtime gegevens kunnen uitwisselen. De “IP” in de naam staat voor Industrial Protocol, niet voor Internet Protocol, al draait EtherNet/IP wel volledig op IP. Het protocol werd in 2001 geïntroduceerd en wordt beheerd door ODVA, de organisatie die ook DeviceNet en CIP Safety onderhoudt. Met naar schatting zo’n 23% van alle nieuw geïnstalleerde industriële netwerkknooppunten (HMS Networks, 2025) is EtherNet/IP na PROFINET het meest gebruikte industriële ethernetprotocol ter wereld, vooral in omgevingen met Rockwell Automation-besturingen.
🕰️ Hoe is EtherNet/IP ontstaan?
De ontwikkeling begon eind jaren negentig in een technische werkgroep van ControlNet International. In 2000 sloten ODVA (oorspronkelijk de Open DeviceNet Vendors Association, opgericht in 1995) en ControlNet International een samenwerkingsovereenkomst, en in 2001 werd EtherNet/IP officieel gepubliceerd. Sinds 2009 valt de technologie volledig onder ODVA, dat inmiddels meer dan 300 lidbedrijven telt.
Het idee was eenvoudig: hetzelfde objectmodel dat al op DeviceNet (CAN-gebaseerd) en ControlNet draaide, hergebruiken op ongewijzigd ethernet. Een engineer die CIP kent, kan daardoor apparaten op alle drie de netwerken op dezelfde manier configureren, en berichten kunnen zelfs via gateways tussen die netwerken worden gerouteerd.
Internationaal is EtherNet/IP vastgelegd als Type 2 in IEC 61158 en als communicatieprofiel CP 2/2 binnen Communication Profile Family 2 (CPF 2) van IEC 61784. ControlNet (CP 2/1) en DeviceNet (CP 2/3) zitten in dezelfde familie.
🧠 Hoe werkt EtherNet/IP?
EtherNet/IP gebruikt de gewone ethernet- en TCP/IP-lagen en legt CIP er als applicatielaag bovenop. Er zijn twee soorten berichten:
- Explicit messaging - vraag-antwoordverkeer via TCP poort 44818, bijvoorbeeld voor het lezen van diagnose, het wijzigen van parameters of het opvragen van de identiteit van een apparaat. Betrouwbaar, maar niet tijdkritisch.
- Implicit messaging - cyclische I/O-data via UDP poort 2222. Na het opzetten van een verbinding (de CIP-dienst Forward_Open) stuurt het apparaat zijn data met een vast interval, de Requested Packet Interval (RPI), zonder dat elk bericht opnieuw wordt aangevraagd.
Implicit messaging volgt het producer/consumer-model: één apparaat produceert data en één of meer afnemers consumeren die tegelijk, via unicast of multicast. Dat is efficiënter dan klassieke master/slave-polling zoals bij Modbus. Omdat multicast zich zonder maatregelen over het hele netwerk verspreidt, gebruiken grotere installaties managed switches met IGMP-snooping of kiezen ze voor unicastverbindingen.
Elk apparaat wordt beschreven in een EDS-bestand (Electronic Data Sheet): een tekstbestand met de parameters, I/O-assemblies en verbindingsmogelijkheden. De engineeringsoftware, zoals Studio 5000, leest dit bestand in om het apparaat te configureren. ODVA-conformiteitstests moeten garanderen dat apparaten van verschillende leveranciers samenwerken.
🔧 Wat zijn de belangrijkste kenmerken en typische waarden?
| Kenmerk | Typische waarde of invulling |
|---|---|
| Applicatielaag | CIP (objectmodel met klassen, instanties en attributen) |
| Explicit messaging | TCP 44818 (en UDP 44818 voor o.a. ListIdentity) |
| Implicit I/O | UDP 2222, unicast of multicast |
| CIP Security | TLS/DTLS via poort 2221 |
| Cyclustijd (RPI) | Instelbaar per verbinding, vaak 2–100 ms; 20 ms is een veelgebruikte standaardwaarde bij Logix-I/O |
| Snelheid | 10/100 Mbit/s en 1 Gbit/s; 10 Mbit/s over Ethernet-APL |
| Topologie | Ster, lijn en ring (Device Level Ring) |
| Ringherstel (DLR) | Circa 3 ms bij 50 knooppunten |
| Tijdsynchronisatie | CIP Sync op basis van IEEE 1588 (Precision Time Protocol) |
| Normering | IEC 61158 Type 2, IEC 61784 CPF 2 |
Voor bewegingssturing combineert CIP Motion de cyclische I/O met CIP Sync, zodat servoassen gesynchroniseerd kunnen worden zonder apart motionnetwerk. Daarmee is EtherNet/IP geschikt voor motion control, al halen EtherCAT en PROFINET IRT doorgaans kortere en strakkere cyclustijden.
🔁 Hoe werkt ringredundantie met DLR?
Device Level Ring (DLR) is de ODVA-standaard voor ringredundantie op apparaatniveau. Apparaten met twee ethernetpoorten en een ingebouwde switch worden in een ring doorgelust, zonder dat elk apparaat een eigen switchpoort nodig heeft.
- Ring supervisor - één supervisor stuurt elke 400 µs (standaardwaarde) beaconframes in beide richtingen en blokkeert één poort om een lus te voorkomen.
- Foutdetectie - valt een kabel of apparaat uit, dan missen de beacons en opent de supervisor de geblokkeerde poort.
- Hersteltijd - ongeveer 3 ms voor een ring van 50 knooppunten, snel genoeg om I/O-verbindingen met een normale RPI niet te laten vallen.
DLR herstelt een ring veel sneller dan RSTP, dat bij een topologiewijziging doorgaans tientallen tot honderden milliseconden nodig heeft, maar werkt alleen binnen één ring. Voor redundantie tussen switches en cellen gebruikt men daarnaast RSTP of PRP, zoals beschreven in de Converged Plantwide Ethernet-architectuur van Rockwell en Cisco.
🦺 Wat zijn CIP Safety en CIP Security?
CIP Safety voegt functionele veiligheid toe volgens het black channel-principe: veiligheidsdata reist over het gewone netwerk, maar wordt beschermd met extra controles (CRC’s, tijdstempels, unieke verbindingsidentificatie) zodat fouten zoals verlies, vertraging, verminking of verwisseling van berichten worden ontdekt. CIP Safety is door TÜV Rheinland gecertificeerd volgens IEC 61508 tot SIL 3 en staat in IEC 61784-3-2. Daardoor kunnen een safety-PLC, noodstoppen en lichtschermen over hetzelfde EtherNet/IP-netwerk communiceren als de standaard-I/O.
CIP Security werd eind 2015 door ODVA gepubliceerd als Volume 8 van de CIP-specificaties en beschermt het verkeer zelf:
- TLS voor TCP-verkeer (explicit messaging) en DTLS voor UDP-I/O
- Apparaatauthenticatie met certificaten of pre-shared keys
- Integriteitsprofiel (berichten kunnen niet ongemerkt worden gewijzigd) en vertrouwelijkheidsprofiel (versleuteling)
Ondersteuning voor CIP Security groeit, maar veel geïnstalleerde apparaten ondersteunen het nog niet. Netwerkmaatregelen blijven daarom nodig.
🔄 Wat is het verschil tussen EtherNet/IP, PROFINET en Modbus TCP?
| Aspect | EtherNet/IP | ProfiNET | Modbus TCP |
|---|---|---|---|
| Beheerder | ODVA | PROFIBUS & PROFINET International | Modbus Organization |
| Applicatielaag | CIP-objectmodel | PROFINET IO | Modbus-registers |
| Realtime-transport | UDP/IP (poort 2222) | Eigen laag-2-frames (RT/IRT), buiten TCP/IP om | TCP (poort 502) |
| Communicatiemodel | Producer/consumer | Provider/consumer | Client/server (polling) |
| Typische cyclustijd | Milliseconden | Milliseconden (RT), sub-ms (IRT) | Tientallen ms, afhankelijk van polling |
| Functionele veiligheid | CIP Safety | PROFIsafe | Geen standaard |
| Ingebouwde security | CIP Security (TLS/DTLS) | PROFINET Security Classes (in invoering) | Modbus/TCP Security (TLS) |
| Sterk in | Rockwell-omgevingen, Noord-Amerika | Siemens-omgevingen, Europa | Eenvoudige koppelingen, universeel |
Omdat EtherNet/IP op standaard TCP/UDP/IP draait, is het (met unicast-I/O) te routeren en te combineren met IT-verkeer. PROFINET haalt betere determinisme door buiten de IP-stack om te gaan, terwijl Modbus TCP vooral eenvoudig is en weinig beheerfuncties kent.
🏭 Waar wordt EtherNet/IP gebruikt?
Het ecosysteem draait grotendeels om Allen-Bradley: ControlLogix- en CompactLogix-controllers van Rockwell Automation gebruiken EtherNet/IP als standaardnetwerk, geconfigureerd met Studio 5000. Daarnaast ondersteunen honderden leveranciers het protocol, van Omron en Schneider Electric tot ifm, Bosch Rexroth, ABB en Fanuc.
Typische toepassingen:
- PLC-communicatie met Remote IO, HMI’s en andere controllers
- Aansturing van frequentieregelaars en servodrives in transport- en verpakkingslijnen
- Robotcellen in de auto-industrie en assemblage
- Data-uitwisseling met SCADA en MES, vaak via een gateway of OPC UA-server
- Procesindustrie - sinds november 2021 ondersteunt de specificatie Ethernet-APL, met 10 Mbit/s over twee draden, kabellengtes tot 1.000 meter en intrinsiek veilige veldapparatuur in Ex-zones
🔐 Hoe beveiligt u een EtherNet/IP-netwerk?
Standaard EtherNet/IP kent geen authenticatie: wie poort 44818 kan bereiken, kan vaak apparaatinformatie opvragen, parameters wijzigen of een controller in programmeermodus zetten. Kwetsbaarheden zoals CVE-2021-22681 (CVSS 10), waarbij een onvoldoende beschermde sleutel in Logix-controllers kon worden misbruikt, staan inmiddels op de CISA-lijst van actief misbruikte kwetsbaarheden. Een praktische aanpak in stappen:
- Inventariseer alle EtherNet/IP-apparaten, firmwareversies en verbindingen, bijvoorbeeld met passieve monitoring.
- Segmenteer het netwerk volgens het Purdue Model en het zones-en-conduitsmodel uit IEC 62443; laat poorten 44818, 2222 en 2221 nooit van buiten de OT-zone bereikbaar zijn.
- Filter op protocolniveau met een industriële firewall met DPI die CIP-diensten zoals schrijven, firmware-updates of modewissels kan blokkeren.
- Beperk multicast met VLAN’s en IGMP-snooping zodat I/O-verkeer binnen de cel blijft.
- Bescherm de controller met de fysieke sleutelschakelaar in RUN, Trusted Slot-functies en actuele firmware.
- Zet CIP Security in waar apparaten het ondersteunen, te beginnen bij verbindingen tussen cellen en met engineeringstations.
- Monitor continu op ongebruikelijke CIP-commando’s, zoals onverwachte programma-downloads.
Voor Nederlandse organisaties die onder NIS2 en de Nederlandse uitwerking daarvan, de Cyberbeveiligingswet, vallen, zijn deze maatregelen onderdeel van de zorgplicht. Fabrikanten van EtherNet/IP-apparaten krijgen daarnaast te maken met de Cyber Resilience Act.
❓ Veelgestelde vragen
Waar staat de afkorting IP in EtherNet/IP voor?
In EtherNet/IP staat IP voor Industrial Protocol en niet voor Internet Protocol. EtherNet/IP gebruikt wel de standaard TCP/IP-protocolstack, maar de naam verwijst naar het industriële CIP-protocol dat erbovenop draait.
Welke poorten gebruikt EtherNet/IP?
EtherNet/IP gebruikt TCP poort 44818 voor explicit messaging en UDP poort 2222 voor cyclische I/O-data (implicit messaging). Met CIP Security beveiligd verkeer loopt via TCP- en UDP-poort 2221. Deze poorten horen alleen binnen de OT-zone toegankelijk te zijn.
Is EtherNet/IP hetzelfde als CIP?
EtherNet/IP is niet hetzelfde als CIP, maar is de implementatie van CIP op ethernet. CIP is het applicatieprotocol met het objectmodel; dezelfde CIP-laag draait ook op DeviceNet en ControlNet. Daardoor configureert u apparaten op deze netwerken op dezelfde manier.
Is EtherNet/IP realtime?
EtherNet/IP is geschikt voor soft realtime-toepassingen: I/O-data wordt cyclisch verstuurd met een instelbare RPI, meestal in het bereik van enkele tot honderd milliseconden. Voor gesynchroniseerde bewegingssturing gebruikt EtherNet/IP CIP Sync en CIP Motion, maar voor sub-milliseconde-toepassingen zijn EtherCAT of PROFINET IRT vaak sneller.
Kunnen EtherNet/IP en PROFINET op hetzelfde netwerk draaien?
EtherNet/IP en PROFINET kunnen fysiek over dezelfde ethernet-infrastructuur lopen, omdat beide standaard ethernet gebruiken. In de praktijk scheidt u ze met VLAN’s en QoS om interferentie te voorkomen, en zorgt een gateway voor uitwisseling van data tussen beide werelden.
Is EtherNet/IP veilig?
Standaard EtherNet/IP heeft geen ingebouwde authenticatie of versleuteling, waardoor het kwetsbaar is voor ongeautoriseerde commando’s. Met CIP Security (TLS en DTLS), netwerksegmentatie en een industriële firewall met diepe pakketinspectie kunt u EtherNet/IP goed beveiligen.
📌 Samengevat
EtherNet/IP brengt het Common Industrial Protocol naar standaard ethernet en is daarmee een van de meest gebruikte industriële netwerken, vooral in de wereld van Rockwell Automation en Allen-Bradley. Met implicit en explicit messaging, DLR-ringredundantie, CIP Safety en CIP Security biedt het een volledig pakket voor I/O, veiligheid en beveiliging, mits u het netwerk goed segmenteert en monitort.