OPC UA entegrasyonlarında “bağlanamıyorum” şikâyetinin en sık nedeni, ağ veya adres değil sertifikadır. İkinci sık neden ise aylar sonra, üretim sırasında bir bağlantının aniden kopması ve incelendiğinde bir sertifikanın süresinin dolduğunun anlaşılmasıdır. İkisi de sertifikaların bir yaşam döngüsü olduğunu, bunun bir işletme görevi olarak yönetilmesi gerektiğini gösterir.
Her OPC UA uygulamasının bir sertifikası vardır ve iki taraf birbirine güvenmelidir. Sertifikaları doğru adlarla üretin, güveni karşılıklı kurun, bitiş tarihlerini izleyin ve yenilemeyi bir görev olarak sahiplenin.
Güven nasıl kurulur?
İstemci ilk kez bağlandığında sertifikasını sunar. Çoğu sunucu bilinmeyen sertifikayı bir “rejected” (reddedilenler) listesine alır ve bağlantıyı reddeder; yönetici sertifikanın parmak izini doğrulayıp onu “trusted” (güvenilenler) listesine taşır. Güven karşılıklıdır: istemci de sunucunun sertifikasına güvenmelidir. Uygulamalara göre bu listeler bir klasör (PKI deposu) veya bir yönetim arayüzü olarak sunulur; Kepware Server gibi ürünlerde güvenilen istemci ve sunucu sertifikaları ve örnek (instance) sertifikaları yönetim ekranlarından yönetilir.
Kendinden imzalı mı, CA imzalı mı?
| Kendinden imzalı | CA imzalı (kurumsal) | |
|---|---|---|
| Kurulum | Hızlı; ürün kendisi üretir | Bir sertifika otoritesi ve süreç gerektirir |
| Güven | Her sertifika tek tek güvenilir yapılır | CA’ya güvenmek yeterlidir; yeni sertifikalar otomatik kabul edilir |
| Ölçek | Az sayıda bağlantı için uygun | Çok sayıda uygulama için sürdürülebilir |
| Yenileme | Her çiftte elle güncelleme | Merkezî; yönetim sunucusuyla otomatikleştirilebilir |
Çok sayıda uygulamada, OPC UA’nın Global Discovery Server (GDS) kavramı gibi merkezî sertifika yönetimi yaklaşımı değerlendirilebilir.
Sertifika neleri içermeli?
- Uygulama URI’si: Sertifikanın alt adlarındaki (SubjectAltName) URI, uygulamanın bildirdiği URI ile eşleşmelidir.
- Host adı veya IP: İstemci sunucuya hangi adla bağlanıyorsa (DNS adı veya IP) sertifikada o ad bulunmalıdır. Bir makine yeniden adlandırılırsa veya IP değişirse sertifikanın yenilenmesi gerekebilir.
- Anahtar uzunluğu ve algoritma: Güncel güvenlik politikalarına uygun olmalıdır.
- Geçerlilik süresi: Yenileme sürecinizin yönetebileceği bir süre seçin; çok uzun süre unutulmaya, çok kısa süre sık kesintiye yol açar.
Güvenlik politikası
Uç noktada seçilen güvenlik politikası, kullanılan algoritmaları belirler. Eski politikalar (Basic128Rsa15, Basic256) artık önerilmez; Basic256Sha256, Aes128_Sha256_RsaOaep veya Aes256_Sha256_RsaPss gibi güncel seçenekleri tercih edin ve mod olarak Sign & Encrypt kullanın. Hangi istemcilerin hangi politikayı desteklediğini bağlantı kurmadan önce doğrulayın.
Sık görülen hatalar ve nedenleri
| Hata (durum kodu) | Olası neden | Çözüm |
|---|---|---|
BadCertificateUntrusted | Karşı taraf sertifikası güven listesinde değil | Parmak izini doğrulayıp güvenilir yapın (iki yönde de) |
BadCertificateHostNameInvalid | Sertifikadaki ad ile bağlanılan ad uyuşmuyor | Sertifikayı doğru DNS/IP ile yeniden üretin veya doğru adla bağlanın |
BadCertificateUriInvalid | Uygulama URI’si sertifikadakiyle eşleşmiyor | Uygulama URI’sini sertifikayla uyumlu yapın |
BadCertificateTimeInvalid | Sertifika süresi dolmuş veya henüz geçerli değil | Sertifikayı yenileyin; cihaz saatlerini kontrol edin |
BadCertificateRevoked | Sertifika iptal edilmiş | Yeni sertifika üretin ve iptal listesini güncelleyin |
BadSecurityChecksFailed | Genel güvenlik doğrulaması başarısız (algoritma, imza) | Güvenlik politikası ve mod uyumunu kontrol edin |
Yenileme planı
- Envanter çıkarın. Hangi uygulamanın hangi sertifikası var, kimde, ne zaman bitiyor?
- Bitiş tarihlerini izleyin. Bitişten haftalar önce uyarı üretin; takvim veya izleme sistemine ekleyin.
- Yenilemeyi önceden yapın ve test edin. Yeni sertifikayı bakım penceresinde, iki tarafın güven listelerine ekleyerek devreye alın.
- Sorumluyu belirleyin. Kim yeniler, kim onaylar, kim doğrular?
- Belgeleyin. Parmak izleri, bitiş tarihleri ve yenileme adımları yazılı olsun.
Sertifika bağlantı kurmayı engelliyorsa çoğu zaman sorun yalnızca güven listesindedir; ancak ağ ve güvenlik duvarını da kontrol edin (protokoller ve bağlantı noktaları). Güvenlik ayarlarına genel bakış için OPC UA güvenlik politikaları ve sertifikalar, OPC UA’nın temelleri için OPC UA nedir? yazılarına bakın.
Sık sorulan sorular
Sertifikaları ne sıklıkla yenilemeliyim?
Geçerlilik süresi sertifika üretilirken belirlenir. Süre dolmadan, yenileme sürecinizin rahatça yönetebileceği bir takvimle yenileyin; bitişten haftalar önce uyarı üretin.
Güvenlik duvarı açık, yine de bağlanamıyorum; neden?
Büyük olasılıkla sertifika güveni veya host adı eşleşmesi sorunudur. Sunucunun “rejected” listesine bakın ve durum kodunu inceleyin.
Test için güvenliği kapatabilir miyim?
Yalnızca yalıtılmış bir test ortamında geçici olarak None modu kullanılabilir; üretimde imzalı ve şifreli uç nokta açılmalıdır.
