Conectar OPC UA a Docker

Antes de empezar

• Un volumen persistente para el directorio PKI. En esto consiste toda la lección de esta página.
• Una decisión sobre el nombre de host y el ApplicationUri del contenedor, porque ninguno se resuelve como lo hace en un portátil.
• Accesibilidad de red desde el contenedor al puerto 4840 de los servidores, incluido cualquier cortafuegos local en el propio host del contenedor.

Cómo configurarlo

1. Monte el directorio PKI en un volumen con nombreSe llame como se llame en su stack (./pki, las rutas del almacén de configuración de seguridad o la carpeta raíz del gestor de certificados), móntelo. La identidad del contenedor está ahí dentro y debe sobrevivir a un reinicio.
2. Fije el ApplicationUri de forma explícitaNo deje que tome por defecto algo derivado de un nombre de host de contenedor aleatorio. Fíjelo en la configuración y asegúrese de que el mismo valor aparece como entrada URI en el SAN del certificado.
3. Ponga en el SAN del certificado todos los nombres accesiblesEl nombre de servicio del contenedor, el nombre DNS del host y cualquier dirección a la que vaya a conectarse realmente un par. A un cliente que compara la URL a la que se conectó con el SAN no le importa qué nombre crea tener el contenedor.
4. Gestione la horaLos contenedores heredan el reloj del host. Un reloj de host desviado produce fallos de tiempo de certificado en certificados perfectamente válidos, así que NTP en el host es un control de seguridad.
5. Demuestre el caso de reinicio antes de entregarArranque el contenedor, establezca una sesión segura, reinicie el contenedor y confirme que la sesión se restablece sin que un administrador toque ninguna lista de confianza. Si no es así, su volumen no está montado donde cree.
6. Exponga el puerto correcto para un servidorUn servidor OPC UA en contenedor necesita el 4840 publicado, y la URL de endpoint que anuncia debe ser una a la que los clientes puedan llegar de verdad, no su dirección interna de contenedor.

Qué aspecto tiene el espacio de direcciones

La contenerización no cambia el espacio de direcciones. Lo que cambia es la identidad y la accesibilidad: el certificado, el ApplicationUri y la URL de endpoint anunciada. Esos tres son toda la diferencia entre un despliegue que funciona y uno que desconcierta.

Las trampas

• Un volumen de PKI no persistente es el fallo más común de OPC UA en contenedores. El síntoma es exasperante: funciona y luego falla después de cada despliegue, con un error de certificado que parece un cambio del lado del servidor.
• Un servidor en contenedor que anuncia el nombre de host interno del contenedor en su descripción de endpoint da a los clientes una URL que no pueden resolver. Configure explícitamente el nombre de host anunciado.
• La desviación del reloj del host produce fallos de tiempo de certificado que parecen problemas de contenido del certificado. Compruebe el reloj antes de rehacer un certificado.
• Los ficheros temporales e intermedios dentro del contenedor no son problema, pero todo lo que necesite conservar (certificados, exportaciones de nodeset, configuración) necesita un volumen.
• Si el contenedor se reinicia con frecuencia bajo un orquestador, cada reinicio es una conexión nueva a cada servidor. Escalone el arranque o provocará su propia tormenta de conexiones.

Cómo sacarle datos de OEE

Nada directamente: esto es fontanería de despliegue. Importa para el OEE solo en el sentido de que un colector que pierde la confianza en cada despliegue produce huecos en sus datos de disponibilidad, y un hueco de recogida es indistinguible de una parada salvo que registre por separado la salud del colector. Publique una señal de colector en línea junto a los datos de máquina.

Última verificación el 7 de septiembre de 2026 frente a OPC UA 1.05.07. OPC UA Connect es un recurso educativo y no está afiliado a la OPC Foundation.