跳到主要内容

证书生成与配置

前置阅读

1. 生成客户端 PFX​

C++ SDK 当前不内置 CertificateManager (后续版本提供), 推荐用 OpenSSL.

OpenSSL 命令​

# 生成私钥 + 自签证书
openssl req -newkey rsa:2048 -keyout key.pem -out cert.pem -days 365 -nodes \
    -subj "/CN=MyClient/O=Darra/C=CN" \
    -addext "subjectAltName=URI:urn:my-company:my-client"

# 打包成 PFX (含私钥)
openssl pkcs12 -export -out client.pfx -inkey key.pem -in cert.pem \
    -password pass:123456

# 同时导出 DER 公钥用于服务端导入
openssl x509 -in cert.pem -outform DER -out client.der

注意 subjectAltName=URI:... 必须填, 且与 ApplicationUri 一致.

2. 服务端导入信任​

把客户端公钥 (client.der 或 cert.pem) 拷贝到服务端的"受信任客户端证书"目录:

Server路径
Darra SimulatorServer<simulator>/pki/trusted/certs/
open62541 example<server>/pki/trusted/certs/
UaExpert设置 → Certificates → Trust

3. 客户端构造时传 PFX​

ConnectionConfig cfg;
cfg.endpoint_url     = "opc.tcp://server:4840";
cfg.security_mode    = MessageSecurityMode::SignAndEncrypt;
cfg.client_cert_path = "C:/certs/client.pfx";
cfg.client_key_path  = "123456";       // PFX 密码
cfg.server_cert_path = "";             // 空 = TOFU (Trust On First Use)

Session s(cfg);
s.Connect();

4. 服务端证书 TOFU​

第一次连接时, 客户端会信任服务端证书并保存指纹. 之后每次连接校验指纹一致, 不一致 (中间人) 拒绝.

如果不想 TOFU, 显式传服务端证书 DER 路径:

cfg.server_cert_path = "C:/certs/server.der";

故障排查​

StatusCode原因解决
BadCertificateUntrusted服务端没信任客户端把 client.der 拷到服务端 trusted/certs/
BadCertificateInvalid证书过期 / 未生效重新生成
BadCertificateUriInvalid证书 SAN.URI 与 ApplicationUri 不匹配重新生成时确保 applicationUri 一致
BadCertificateHostNameInvalid证书 SAN.DNS 与连接的 host 不匹配生成时加 subjectAltName=DNS:server.example.com
BadSecurityChecksFailed通用安全校验失败看服务端日志查具体原因
BadSecurityModeRejected服务端不支持该 SecurityModeGetEndpoints 看服务端实际支持哪些
BadSecurityPolicyRejected服务端不支持 Basic256Sha256服务端配置开启该 Policy

SAN URI 重要性​

OPC UA 校验客户端证书 SAN 中必须有 URI: 字段, 且与 ApplicationUri 一致. 这是防伪造的关键, 必须正确设置. 用 openssl x509 -in cert.pem -text -noout 验证:

openssl x509 -in cert.pem -text -noout | grep "URI:"
# 期望输出: URI:urn:my-company:my-client

时间同步 (NTP)​

加密模式下双方校验时间戳, 偏差超过 ~10 分钟会被拒绝. 生产环境必须配 NTP, 时间偏差控制在秒级.

# Windows
w32tm /resync

# Linux
sudo timedatectl set-ntp true

下一步​