Client-Zugriff

Die Zertifikate der OPC UA-Anwendungen, die diese Station anwählen: einen Client aufnehmen, Zertifikate prüfen und ihnen vertrauen oder sie sperren, die Verbindungsadressen, die Regel der Windows-Firewall, die lebenden Sitzungen und die Liste der vertrauten Clients.

Client-Zugriff ist die dritte Zeile der Gruppe OPC UA-SERVER auf der Seite Einstellungen. Sie ist die Liste der Anwendungszertifikate, denen der eingebettete Server begegnet ist, und dessen, was Sie über jedes entschieden haben: ein unbekanntes Zertifikat wird beim ersten Versuch abgewiesen und hier zur Prüfung aufbewahrt, ihm zu vertrauen lässt die Anwendung den Server erreichen, es zu sperren hält sie leise draußen. Der Kopf der Karte sagt es: "Ein Client-Zertifikat weist die Anwendung aus, die um eine Verbindung bittet. Vertrauen Sie nur einem Fingerabdruck, den Sie mit der Person geprüft haben, die diesen Client in Betrieb nimmt." Die Seite zu öffnen braucht die Berechtigung Einstellungen ändern; jede Entscheidung auf dieser Karte wird auf dem Desktop der Station selbst getroffen.

Unter dem Kopf steht ein Grundsatz: "Das Vertrauen in ein Zertifikat und die Anmeldung sind getrennte Prüfungen. Vertrauen erlaubt diesem Anwendungszertifikat, den Server zu erreichen. Die Einstellung Client-Authentifizierung darüber entscheidet weiterhin, ob es sich anonym oder mit dem hinterlegten Benutzernamen und Passwort verbindet. Namen in Zertifikaten sind eine Behauptung des Clients; der SHA-256-Fingerabdruck ist die Identität, die zu prüfen ist."

Wer entscheiden darf

Jede Schaltfläche der Karte folgt einer Regel, und ihr Tooltip sagt, welcher Teil abgelehnt hat: "Der Client-Zugriff lässt sich nur in der Desktop-Anwendung der Station ändern." in einem Browser auf einem anderen Gerät (die Karte zeigt dann auch den Hinweis "Öffnen Sie die Desktop-Anwendung, um den Client-Zugriff zu ändern": entfernte Browser dürfen die Liste ansehen, nicht ändern); "Ihre aktuelle Rolle darf die Einstellungen der Station nicht ändern." für eine Rolle ohne Einstellungen ändern; "Die Konfiguration ist gesperrt, solange eine Einheit läuft." oder "Runtime gestoppt" für die beiden Sperren; "Eine andere Änderung am Client-Zugriff läuft gerade." während eine Entscheidung, ein Einspielen oder der Befehl der Firewall läuft. Ein Druck, der trotzdem durchkommt, wird mit demselben Satz in der Statusleiste beantwortet, wo jedes Ergebnis dieser Karte landet.

Client hinzufügen

Das Fenster erklärt einen Versuch; es weist nie einen aus und vertraut nie etwas. Solange es offen ist, trägt die Karte den Hinweis in Vorsichtsfarbe "Wartet auf ein Client-Zertifikat · mm:ss": "Starten Sie die Verbindung jetzt im OPC UA-Client. Weist dieser Client zuerst das Serverzertifikat dieser Station zurück, bestätigen Sie, dass es diese Station von Ganter Lab ist, vertrauen Sie ihr im Client und versuchen Sie es erneut. Das Zertifikat des Clients erscheint dann unter Wartet auf Freigabe; Ganter Lab vertraut nichts automatisch." Das Fenster läuft am Ende der Frist von selbst ab.

Ist das der Client, den Sie hinzufügen?

Ein Zertifikat, das eintrifft, während das Fenster offen ist, wird in einem Hinweis dieses Titels gezeigt: "Ein Client hat dieses Zertifikat vorgelegt, während Client hinzufügen offen war. Prüfen Sie es gegen den Client, den Sie in Betrieb nehmen, bevor diese Station ihn erwartet nennt. Bis Sie antworten, bleibt es ein unbekanntes Zertifikat in der Liste unten und bleibt getrennt.", mit Name, Betreff und Fingerabdruck.

Nur Ihre Antwort oder die Frist schließt das Fenster, ein Versuch von irgendwem sonst kann es also weder aufbrauchen noch sich seine Worte borgen. Ein neues Fenster vergisst die unbeantworteten Fragen des vorigen.

Wartet auf Freigabe

Die Gruppe wird gezeichnet, solange mindestens ein Zertifikat wartet, mit der Überschrift "Unbekannte Anwendungen bleiben getrennt, bis Sie entscheiden." und der Anzahl. Jede Zeile zeigt einen bernsteinfarbenen Punkt, den Namen, den das Zertifikat behauptet, "Behauptete Identität der Anwendung", den SHA-256-Fingerabdruck, "Letzter Versuch <Datum und Uhrzeit> · N Verbindungsversuche" und eine Aufklappung Einzelheiten des Zertifikats mit Betreff, Aussteller, Anwendungs-URI, Domänennamen, Gültig ab, Gültig bis und Zuerst gesehen. Die Zeile, auf die das Prüfen einer Benachrichtigung geführt hat, ist mit "Zur Prüfung ausgewählt" markiert und in den Blick gescrollt.

Ein Zertifikat bleibt getrennt, bis Sie entscheiden; erneute Versuche frischen seine Anzahl der Versuche und die Zeit des letzten Versuchs auf, ohne eine zweite Benachrichtigung.

Die Prüfliste ist voll

Die Liste hält höchstens 100 Zertifikate. Solange sie voll ist, wird ein weiteres unbekanntes Zertifikat weiterhin abgewiesen, aber nicht aufbewahrt, und die Karte sagt das in einem Hinweis in Vorsichtsfarbe: "Die Prüfliste unten ist voll. Solange sie das ist, wird ein neues Zertifikat abgewiesen, ohne hier aufgenommen zu werden, der Client, auf den Sie warten, erscheint also womöglich nie. Verwerfen Sie die Zertifikate, die auf die Prüfung warten, um Platz zu schaffen.", oder, sobald etwas verloren ging, "…und 1 Zertifikat wurde abgewiesen, ohne hier aufgenommen zu werden, seit sie voll ist. Der Client, auf den Sie warten, könnte dieses sein…" oder "…und N Zertifikate wurden abgewiesen…". Jede solche Abweisung wird außerdem ins Journal geschrieben. Der Zähler wird zurückgesetzt, sobald wieder Platz ist.

Verbindungsadressen

"Nutzen Sie die Adresse, die dazu passt, wo der Client läuft." Zwei Adressen zum Lesen: Dieser Rechner, opc.tcp://localhost:<port>/UA/GanterLab, für einen Client auf der Station selbst, und Lokales Netzwerk, opc.tcp://<computer name>:<port>/UA/GanterLab, für einen Client anderswo im LAN. Der Port ist der unter Konfiguration.

Windows-Firewall

Ein Punkt und ein Satz sagen, ob die von der Anwendung gehaltene eingehende Regel den aktuellen Port erlaubt, mit einer Handlung, wenn sie es nicht tut.

Der Zustand wird beim Öffnen der Seite und bei jeder Änderung der Konfiguration erneut gelesen; nach einem Wechsel des Ports steht dort also Nicht eingerichtet, bis Sie den neuen Port erlauben. Die Regel deckt nur den Port von OPC UA ab; das Web-Dashboard hat seine eigene Regel, die der Fernzugriff automatisch anwendet.

Jetzt verbunden

"Lebende OPC UA-Sitzungen, die der Server angenommen hat.", mit der Anzahl. Eine Tabelle führt jede Sitzung auf: Zustand (ein grüner Punkt, "Live"), Sitzung (der Name, den der Client ihr gegeben hat), Behaupteter Client (die Anwendung oder der Rechner, den der Client meldet), Benutzer (die Identität, mit der er sich angemeldet hat, oder Anonym) und Verbunden (die Uhrzeit der Verbindung). Gibt es keine: "Keine OPC UA-Clients verbunden." Die Liste wird jede Sekunde frisch gelesen und ist leer, solange der Server gestoppt ist.

Vertraute Clients

"Zertifikate, die künftige sichere Verbindungen aufbauen dürfen.", mit der Anzahl. Jede Zeile zeigt einen neutralen Punkt, den behaupteten Namen, "Behauptete Identität der Anwendung · Vertraut von <Benutzer> am <Datum und Uhrzeit>" (oder "an dieser Station", wenn niemand angemeldet war), den Fingerabdruck und eine Aufklappung mit Betreff, Aussteller, Anwendungs-URI, Domänennamen, Gültig bis und Zuletzt gesehen. Gibt es keine: "Keinem Client-Zertifikat vertraut."

Der Hinweis unter dem Kopf sagt, warum es das Einspielen gibt: "Haben Sie das öffentliche Zertifikat des Clients bereits? Spielen Sie es hier ein, um ihm vor seiner ersten Verbindung zu vertrauen, statt die Verbindung einmal scheitern zu lassen. Prüfen Sie den Fingerabdruck, den es einträgt, gegen den, den der Client meldet." Ein Zertifikat einzuspielen, das gesperrt war, hebt die Sperre auf.

Gesperrte Clients

Eine zugeklappte Aufklappung, "Gesperrte Clients" mit der Anzahl, nur gezeichnet, solange es mindestens eines gibt. Jede Zeile zeigt einen roten Punkt, den behaupteten Namen, "Behauptete Identität der Anwendung · Gesperrt von <Benutzer> am <Datum und Uhrzeit>", den Fingerabdruck und Entsperren, was das Zertifikat ohne Vertrauen zu Wartet auf Freigabe zurückgibt: "<Name> ist entsperrt und wartet wieder auf die Prüfung." Ein gesperrtes Zertifikat löst keine wiederholten Nachfragen aus und bleibt draußen, bis Sie erneut entscheiden.

Wie Sie von einem Versuch erfahren

Ein erster Versuch einer unbekannten Anwendung löst eine haftende Benachrichtigungskarte in der Anwendung aus, "OPC UA-Client wartet auf Freigabe" (oder "N OPC UA-Clients warten auf Freigabe"), die das jüngste Zertifikat und die ersten Zeichen seines Fingerabdrucks nennt, mit einer Handlung Prüfen, die diesen Abschnitt auf dieser Zeile öffnet. Bei verborgenem Fenster sagt eine Windows-Benachrichtigung "OPC UA-Verbindungsversuch blockiert" oder "OPC UA-Zertifikat wartet auf Ihre Prüfung", wenn der Versuch während Client hinzufügen eintraf. Die Karte folgt der Liste: sie wird ersetzt, sobald Zertifikate eintreffen, und ausgeblendet, wenn nichts mehr wartet; ein Start mit bereits wartenden Anfragen stellt eine leise Zusammenfassungskarte wieder her und keine Windows-Benachrichtigung. Der Client selbst sieht einen Fehler wegen des nicht vertrauten Zertifikats, bis Sie ihm vertrauen.

Wo die Entscheidungen wohnen

Die Speicher sind Verzeichnisspeicher von OPC UA unter ua\pki in der Datenwurzel der Station (trusted, pending, blocked, der eigene Diagnosespeicher rejected des SDK und own für das Zertifikat der Station), mit den Zählungen der Versuche und den Entscheidungen in client-access.json. Eine Entscheidung wird in den Speicher geschrieben, bevor sie angesagt wird, die Ansicht und der lebende Prüfer können sich also nie widersprechen; die Speicher werden bei jedem Start abgeglichen, und eine ausdrückliche Sperre schlägt immer das Vertrauen, das eine wartende Anfrage schlägt. Sie sind nicht Teil einer Sicherung der Konfiguration.

Was dieser Abschnitt nicht tut

Nichts wird jemals automatisch vertraut: kein leerer Speicher schaltet die Annahme frei, und es gibt keine Anbindung an einen Discovery-Server. Die Karte erzeugt keine Zertifikate für Clients, trennt keine einzelne Sitzung, ohne ihr Zertifikat zu widerrufen, erteilt keine Rechte je Client (eine vertraute Anwendung hat die Rechte, die der Modus der Authentifizierung ihr gibt) und verwaltet nicht die Zertifikate der Anlagen, die die Station anwählt, die unter Anlagenzugriff stehen.