Acceso de clientes

Los certificados de las aplicaciones OPC UA que marcan a esta estación: dar de alta un cliente, revisar y confiar o bloquear certificados, las direcciones de conexión, la regla del Firewall de Windows, las sesiones vivas y la lista de confianza.

Acceso de clientes es la tercera fila del grupo SERVIDOR OPC UA de la página Ajustes. Es la lista de los certificados de aplicación que el servidor integrado ha conocido y lo que usted decidió sobre cada uno: un certificado desconocido se rechaza en su primer intento y se guarda aquí para revisión, confiar en él deja que la aplicación alcance al servidor, y bloquearlo la deja afuera sin ruido. La cabeza de la tarjeta lo dice: "Un certificado de cliente identifica a la aplicación que pide conectarse. Confíe solo en una huella digital que haya verificado con quien pone en marcha ese cliente." Abrir la página exige el permiso Cambiar los ajustes; toda decisión de esta tarjeta se toma en el escritorio de la propia estación.

Bajo la cabeza se para un principio: "La confianza en el certificado y el inicio de sesión son verificaciones separadas. La confianza permite que este certificado de aplicación alcance al servidor. El ajuste de Autenticación de cliente de arriba sigue decidiendo si se conecta de forma anónima o con el usuario y la contraseña configurados. Los nombres de los certificados los dice el cliente; la huella digital SHA-256 es la identidad que hay que verificar."

Quién puede decidir

Todos los botones de la tarjeta obedecen una sola regla, y su información emergente dice qué parte rechazó: "El acceso de clientes solo se puede cambiar en la aplicación de escritorio de la estación." en un navegador de otro dispositivo (la tarjeta muestra además el aviso "Abra la aplicación de escritorio para cambiar el acceso de clientes": un navegador remoto puede inspeccionar la lista, no cambiarla); "Su rol actual no puede cambiar los ajustes de la estación." para un rol sin Cambiar los ajustes; "La configuración está bloqueada mientras una unidad está en marcha." o "Runtime detenido" para los dos bloqueos; "Ya hay otro cambio de acceso de clientes en curso." mientras corren una decisión, una importación o el comando de firewall. Una pulsación que se cuele de todos modos se contesta con esa misma frase en la barra de estado, donde aterriza todo desenlace de esta tarjeta.

Agregar un cliente

La ventana explica un intento; nunca identifica a ninguno y nunca confía en nada. Mientras está abierta, la tarjeta lleva el aviso de precaución "En espera de un certificado de cliente · mm:ss": "Arranque ahora la conexión en el cliente OPC UA. Si ese cliente rechaza primero el certificado de servidor de esta estación, confirme que es esta estación de Ganter Lab, confíe en ella desde el cliente y reintente. El certificado del cliente aparecerá entonces en Pendientes de aprobación; Ganter Lab no confía en nada de forma automática." La ventana vence sola en su fecha límite.

¿Es este el cliente que está agregando?

Un certificado que llega mientras la ventana está abierta se muestra en un aviso con ese título: "Un cliente presentó este certificado mientras Agregar un cliente estaba abierto. Verifíquelo contra el cliente que está poniendo en marcha antes de que esta estación lo llame esperado. Hasta que usted conteste, se queda como un certificado desconocido en la lista de abajo y sigue desconectado.", con su Nombre, su Sujeto y su Huella digital.

Solo su respuesta o la fecha límite cierran la ventana, así que un intento de alguien más no puede ni gastarla ni tomar prestada su redacción. Una ventana nueva olvida las preguntas sin contestar de la anterior.

Pendientes de aprobación

El grupo se dibuja mientras al menos un certificado espera, con el título "Las aplicaciones desconocidas siguen desconectadas hasta que usted decida." y el conteo. Cada fila muestra un punto ámbar, el nombre que el certificado dice tener, "Identidad de aplicación declarada", la huella digital SHA-256, "Último intento <date and time> · N intento(s) de conexión", y un desplegable Detalles del certificado con Sujeto, Emisor, URI de aplicación, Nombres de dominio, Válido desde, Válido hasta y Visto por primera vez. La fila a la que llevó el Revisar de una notificación queda marcada como "Seleccionada para revisión" y se desplaza a la vista.

Un certificado se queda desconectado hasta que usted decida; los reintentos actualizan su conteo de intentos y la hora del último intento sin una segunda notificación.

La lista de revisión está llena

La lista guarda como máximo 100 certificados. Mientras está llena, un certificado desconocido más se sigue rechazando pero no se retiene, y la tarjeta lo dice en un aviso de precaución: "La lista de revisión de abajo está llena. Mientras lo esté, un certificado nuevo se rechaza sin agregarse aquí, así que el cliente que usted espera puede que nunca aparezca. Descarte los certificados que esperan revisión para hacer lugar.", o, una vez que hubo descartes, "…y 1 certificado se ha rechazado sin agregarse aquí desde que se llenó. El cliente que usted espera puede ser ese…" o "…y N certificados se han rechazado…". Cada uno de esos rechazos queda registrado además en el diario. El contador se restablece en cuanto vuelve a haber lugar.

Direcciones de conexión

"Use la dirección que corresponda a donde corre el cliente." Dos direcciones de solo lectura: Esta computadora, opc.tcp://localhost:<port>/UA/GanterLab, para un cliente en la propia estación, y Red local, opc.tcp://<computer name>:<port>/UA/GanterLab, para un cliente en otro lugar de la LAN. El puerto es el de Configuración.

Firewall de Windows

Un punto y una frase dicen si la regla de entrada que es de la aplicación permite el puerto actual, con una sola acción cuando no lo permite.

El estado se vuelve a leer cuando abre la página y cada vez que cambia la configuración; por eso un cambio de puerto muestra Sin configurar hasta que usted permita el puerto nuevo. La regla cubre solo el puerto de OPC UA; el panel de control web tiene su propia regla, que aplica solo el Acceso remoto.

Conectados ahora

"Sesiones OPC UA vivas que aceptó el servidor.", con el conteo. Una tabla enumera cada sesión: Estado (un punto verde, "Viva"), Sesión (el nombre que le dio el cliente), Cliente declarado (la aplicación o el anfitrión que informa el cliente), Usuario (la identidad con la que inició sesión, o Anónimo) y Conectado (la hora del día a la que se conectó). Cuando no hay ninguna: "Ningún cliente OPC UA conectado." La lista se lee de nuevo cada segundo y está vacía mientras el servidor está detenido.

Clientes de confianza

"Certificados que pueden establecer conexiones seguras en el futuro.", con el conteo. Cada fila muestra un punto neutro, el nombre declarado, "Identidad de aplicación declarada · Se confió por <user> el <date and time>" (o "en esta estación" cuando no había nadie con la sesión iniciada), la huella digital, y un desplegable de detalles con Sujeto, Emisor, URI de aplicación, Nombres de dominio, Válido hasta y Visto por última vez. Cuando no hay ninguno: "Ningún certificado de cliente de confianza."

La ayuda que va bajo la cabeza dice para qué existe la importación: "¿Ya tiene el certificado público del cliente? Impórtelo aquí para confiar en él antes de su primera conexión, en lugar de dejar que la conexión falle una vez. Verifique la huella digital que agrega contra la que informa el cliente." Importar un certificado que estaba bloqueado levanta el bloqueo.

Clientes bloqueados

Un desplegable plegado, "Clientes bloqueados" con el conteo, dibujado solo mientras existe al menos uno. Cada fila muestra un punto rojo, el nombre declarado, "Identidad de aplicación declarada · Bloqueado por <user> el <date and time>", la huella digital, y Desbloquear, que regresa el certificado a Pendientes de aprobación sin confiar en él: "<name> quedó desbloqueado y regresó a la revisión pendiente." Un certificado bloqueado no levanta avisos repetidos y se queda afuera hasta que usted vuelva a decidir.

Cómo se entera usted de un intento

Un primer intento de una aplicación desconocida levanta una sola tarjeta de notificación persistente en el shell, "Cliente OPC UA en espera de aprobación" (o "N clientes OPC UA en espera de aprobación"), que nombra el certificado más reciente y los primeros caracteres de su huella digital, con una acción Revisar que abre esta sección en esa fila. Con la ventana escondida, una notificación de Windows dice "Intento de conexión OPC UA bloqueado", o "Certificado OPC UA en espera de su verificación" cuando el intento llegó durante Agregar un cliente. La tarjeta sigue a la lista: se reemplaza conforme llegan certificados y se descarta cuando no queda nada pendiente; un arranque con solicitudes ya en espera restaura una sola tarjeta de resumen discreta y ninguna notificación de Windows. El cliente en sí ve un error de certificado no confiable hasta que usted confíe en él.

Dónde viven las decisiones

Los almacenes son almacenes de directorio de OPC UA bajo ua\pki en la raíz de datos de la estación (trusted, pending, blocked, el almacén de diagnóstico rejected del propio SDK, y own para el certificado de la estación), con los conteos de intentos y las decisiones en client-access.json. Una decisión se escribe en el almacén antes de anunciarse, así que la pantalla y el validador vivo no se pueden contradecir nunca; los almacenes se reconcilian en cada arranque, y un bloqueo explícito siempre le gana a la confianza, que le gana a una solicitud pendiente. No son parte de una copia de seguridad de la configuración.

Lo que esta sección no hace

Nunca se confía en nada de forma automática: ningún almacén vacío habilita la aceptación, y no hay integración con un servidor de descubrimiento. La tarjeta no crea certificados para los clientes, no desconecta una sesión suelta sin revocar su certificado, no concede derechos por cliente (una aplicación de confianza tiene los derechos que le da el modo de autenticación), y no administra los certificados de los equipos que marca la estación, que están en Acceso a los equipos.