Zum Hauptinhalt springen
Version: 5.6

OPC UA-Server über HTTPS

Der OPC UA-Server des OPC Routers kann über einen HTTPS-Endpunkt erreichbar gemacht werden (siehe Konfiguration – HTTPS port). Beim Verbinden eines Clients über HTTPS müssen einige Besonderheiten beachtet werden, die sich von einer Verbindung über das Standard-OPC-UA-TCP-Protokoll (opc.tcp://) unterscheiden.

Voraussetzungen auf Client-Seite​

Keine anonyme Anmeldung​

Anonyme Verbindungen sind über HTTPS nicht zulässig. Der Client muss sich mit einem Benutzernamen und einem Passwort anmelden. Der entsprechende Benutzer muss zuvor in der Benutzerverwaltung des OPC UA-Server-Plug-ins angelegt worden sein.

SecurityPolicy auf „None" setzen​

Die SecurityPolicy muss auf Client-Seite auf None gesetzt werden.

hinweis

Die Sicherheitseinstellungen im OPC UA-Server-Plug-in (Basic128 Rsa15, Basic256 Sha256 usw.) gelten ausschließlich für Verbindungen über opc.tcp:// und haben keinen Einfluss auf HTTPS-Verbindungen. Für HTTPS-Verbindungen übernimmt TLS die Transportverschlüsselung; eine zusätzliche OPC-UA-Nachrichtenverschlüsselung (MessageSecurity) ist daher nicht vorgesehen und muss daher auf None gestellt werden.

Beispiel: Einstellung in UA Expert

  1. Verbindungsassistenten öffnen und die HTTPS-Endpunktadresse des Servers eintragen (z. B. https://172.20.10.220/services/UA/UA-Server).
  2. Im Abschnitt Security Settings die SecurityPolicy auf None setzen.
  3. Authentifizierungstyp auf Username stellen und Benutzernamen sowie Passwort eingeben.

Reverse Proxy berücksichtigen​

Wenn der OPC UA-Server über einen Reverse Proxy erreichbar ist, muss in den HTTPS-Einstellungen des OPC UA-Server-Plug-ins die Option „Mutual TLS aktivieren" deaktiviert werden.

Wenn diese Option aktiv ist, erwartet der Server, dass TLS-Client-Zertifikat und OPC-UA-Anwendungszertifikat zueinander passen. Hinter einem Reverse Proxy ist diese Zuordnung nicht immer eindeutig. Die Verbindung kann dann trotz korrekter Konfiguration fehlschlagen.

Besonderheit beim Siemens Industrial Edge Web-Management-Endpunkt​

Wenn der OPC UA-Server über den Web-Management-Endpunkt eines Siemens Industrial Edge Devices erreichbar ist, muss die Endpunktadresse auf Client-Seite ohne das Präfix /opcrouter angegeben werden.

Anzeige im Plug-inAnzugeben im Client
https://172.20.10.220/opcrouter/services/UA/UA-Serverhttps://172.20.10.220/services/UA/UA-Server

Auch in diesem Fall muss die Option „Mutual TLS aktivieren" deaktiviert sein, da der Web-Management-Endpunkt als Reverse Proxy arbeitet.