OPC UA güvenliği: modlar, sertifikalar ve güven listeleri
OPC UA bağlantısını “çalışıyor” diye bırakmayın. Güvenlik modunu, sertifika güvenini ve kullanıcı kimlik doğrulamasını ayrı kararlar olarak alın.
OPC DA (Classic), Microsoft COM ve DCOM üzerine kuruludur ve esas olarak Windows'a bağlıdır. OPC UA platformdan bağımsızdır, kendi ikili TCP veya HTTPS taşıma katmanını kullanır ve sertifika, imzalama ve şifreleme gibi güvenliği yerleşik olarak taşır. OPC UA ayrıca tipli bilgi modelleri, abonelik ve tarihsel erişim sunar.
OPC DA (Classic), Microsoft'un COM ve DCOM teknolojilerine dayanır. Bu nedenle istemci ve sunucu genellikle Windows üzerinde çalışır. DCOM'un dinamik port kullanımı, güvenlik duvarı kurallarını yazmayı ve sürdürmeyi zorlaştırır.
OPC UA belirli bir işletim sistemine bağlı değildir. Kendi ikili TCP taşıma katmanını ya da HTTPS'i kullanır. Güvenlik bir eklenti değil, çekirdeğin parçasıdır: uygulama sertifikaları, mesaj imzalama ve şifreleme standartta tanımlıdır. Bilgi modeli tiplidir; bir pompa, hızı, durumu ve metotlarıyla tek bir nesne olarak tanımlanabilir.
Okuma ve yazmanın yanında UA; değişiklik bildirimi için abonelik, metot çağrısı, tarihsel veri erişimi ve yayınla-abone-ol için PubSub seçeneği sunar.
Hipotetik bir tesiste 120 OPC DA etiketi tanımlı. Bunların 36'sı artık hiçbir ekranda ve raporda kullanılmıyor; taşıma 120 − 36 = 84 etiketle başlar.
Her kalan etiket bir UA adres alanı düğümüne eşlenir. Örneğin DA'daki 'PompaA.Hiz' etiketi, Hat1/PompaA/Hiz yolunda tipli bir değişken olur. Veri tipi (örneğin Double) ve mühendislik birimi, DA sunucusunun belgesinden kontrol edilerek UA modeline yazılır.
Değişiklik bildirimleri bir abonelikle alınır. Yayın aralığı süreç ihtiyacına göre seçilir; 1000 ms burada yalnızca bir başlangıç değeridir, kural değildir.
İlk hata, OPC UA'nın güvenliğini kendiliğinden var saymaktır. Güvenlik modu 'None' bırakılır ya da sertifikalar doğrulanmazsa protokolün sunduğu korumanın büyük kısmı kaybolur. Politikalar ve sertifika yönetimi bilinçli olarak yapılandırılmalıdır.
İkinci hata, DA etiketlerini birebir UA düğümlerine kopyalamaktır. UA'nın değer, tip ve ilişki modelleme gücü kullanılmaz; düz bir etiket listesi elde kalır.
Üçüncü hata, OPC UA'yı gerçek zamanlı sanmaktır. Zamanlamayı abonelik aralığı, ağ yükü ve sunucu yükü belirler. Kontrol döngüleri kontrolcüde kalmalı; OPC UA katmanı gözetim ve veri alışverişi içindir.
Her zaman değil. Mevcut sistem çalışıyor ve ağı yalıtılmışsa geçiş ertelenebilir. Yeni entegrasyonlarda ya da güvenlik duvarından geçmesi gereken veri akışlarında OPC UA genellikle daha uygun bir seçimdir. Karar, bakım ve güvenlik planına bağlıdır.
Evet. Mevcut DA sunucusu, bir DA-UA köprü yazılımı (wrapper veya proxy) üzerinden UA istemcilerine açılabilir. Köprü bağlantıyı ve veriyi çevirir; ancak DA sunucusunun Windows ve DCOM bağımlılığını ortadan kaldırmaz.
Örnek sayılar varsayımsaldır; sahada doğrulanmış sonuç iddiası değildir.