Fehlersuche-Sprechstunde

Was Sie danach können

• Sie können eine gescheiterte Verbindung in diagnostischer Reihenfolge abarbeiten, statt zu raten.
• Sie können jeden der häufigen Zertifikatsfehler allein anhand des StatusCodes beheben.
• Sie kommen mit Reverse Connect durch NAT und ein nach Purdue geschichtetes Netz.
• Sie können eine OPC-UA-Session in Wireshark entschlüsseln und lesen.
• Sie können ein Serverproblem von einem Clientproblem und von einem Netzwerkproblem unterscheiden.

Lehrplan

1. 1
   Die Diagnosereihenfolge abarbeiten

   TCP-Erreichbarkeit, dann GetEndpoints mit Security None, dann die EndpointDescriptions prüfen, dann eine gesicherte Session versuchen. Wer einen Schritt überspringt, fängt an zu raten.

   Asset Die Vier-Schritt-Reihenfolge, ausgeführt gegen einen defekten Server, mit der Ausgabe jedes Schritts

   8 min
2. 2
   Eine abgewiesene Verbindung reparieren

   Port zu, falscher Port, Firewall, Server lauscht nicht. Diese Fälle in einer Minute unterscheiden.

   Asset nc, ss und ein Client-Versuch gegen vier verschiedene Fehlerbilder, mit der jeweiligen Ausgabe

   8 min
3. 3
   Eine falsche Endpunkt-URL beheben

   Der Server bewirbt den Hostnamen, mit dem er konfiguriert wurde, nicht den, den Sie gewählt haben. Was zu ändern ist und wo.

   Asset Ein Server, der einen nicht erreichbaren internen Hostnamen ankündigt, mit der zurückgegebenen EndpointDescription

   8 min
4. 4
   Einen Vertrauensfehler beheben, beidseitig

   Der Ablauf von rejected nach trusted vollständig erledigt statt halb. Die meisten reparieren nur eine Seite.

   Asset Eine scheiternde erste Verbindung und die zwei Änderungen an der Trust List, die sie beheben, als Screenshots in UaExpert

   9 min
5. 5
   Hostnamen- oder URI-Konflikt im Zertifikat beheben

   SAN-Einträge, ApplicationUri, und warum eine Verbindung über die IP an einem FQDN-Zertifikat scheitert.

   Asset Ein openssl-Dump des fehlschlagenden Zertifikats neben dem Verbindungslog

   8 min
6. 6
   Eine kaputte Kette reparieren

   Fehlende Zwischenzertifikate, fehlende CRLs und eine Unternehmens-CA ohne keyCertSign und cRLSign.

   Asset Ein Kettenvalidierungsfehler, über openssl bis zur fehlenden Schlüsselverwendung verfolgt

   8 min
7. 7
   Ein Uhrzeitproblem beheben

   Zeitbezogene Zertifikatsfehler bei völlig gültigen Zertifikaten, und warum NTP eine Sicherheitsmaßnahme ist.

   Asset Ein gültiges Zertifikat, auf einer Maschine mit 40 Minuten Abweichung abgewiesen, nach NTP akzeptiert

   6 min
8. 8
   Mit Reverse Connect durch NAT kommen

   ReverseHello, das Muster mit ausschließlich ausgehenden Verbindungen für ein nach Purdue geschichtetes Netz, und das wenig naheliegende Verhalten, bei dem der Client das Zertifikat holen, den Kanal verlieren und auf das nächste Hello warten muss.

   Asset Eine über NAT aufgebaute Reverse-Connect-Session mit der vollständigen Paketfolge

   10 min
9. 9
   Einen Client diagnostizieren, der sich verbindet und dann abbricht

   Session-Timeout, Keep-alive, ein Server, der nach einem nicht unterstützten Reverse Connect abbricht, und Zertifikats-Neuverhandlung. Vier Ursachen, ein Symptom.

   Asset Vier Mitschnittausschnitte mit demselben sichtbaren Symptom und vier verschiedenen Ursachen

   8 min
10. 10
    Eine Namespace-Index-Verschiebung beheben

    Ein fest verdrahtetes ns= nach einem SPS-Download. Die Sofortlösung und die dauerhafte.

    Asset NamespaceArray vor und nach einem Programmdownload, mit dem Client-Code, der brach, und dessen Korrektur

    8 min
11. 11
    Den Datenverlust finden, den niemand gemeldet hat

    Ein Queue-Überlauf, der als Good gemeldet wird. Wie Sie ihn im Nachhinein erkennen und belegen, dass er passiert ist.

    Asset Ein Datensatz mit einer stillen Lücke und das Overflow-Bit, das zeigt, wo

    8 min
12. 12
    Einen langsamen Server diagnostizieren

    Abtastlast, zu viele verschiedene Intervalle, eingeschaltet gelassene Diagnose, Verbindungsstürme, und wie Sie erkennen, welches davon vorliegt, bevor Sie anfangen, Dinge zu ändern.

    Asset Serverdiagnose von einem überlasteten Server, mit der einen Änderung, die es behoben hat

    9 min
13. 13
    OPC UA in Wireshark lesen

    Der eingebaute Dissector, der opcua-Filter, und das Lesen des Handshakes Nachricht für Nachricht.

    Asset Ein vollständiger kommentierter Mitschnitt einer Verbindung, von Hello bis zur ersten Publish-Antwort

    8 min
14. 14
    Eine verschlüsselte Session lesen

    Session-Schlüssel auslesen und einen SignAndEncrypt-Channel dekodieren, bei manchen Problemen der einzige Weg zur Fehlersuche.

    Asset Ein verschlüsselter Mitschnitt, mit ausgelesenen Schlüsseln decodiert, mit den Service-Aufrufen darin

    6 min

Lab

Zuletzt geprüft am 7. September 2026 gegen OPC UA 1.05.07. OPC UA Connect ist ein unabhängiges Bildungsangebot und steht in keiner Verbindung zur OPC Foundation.