Clinique de dépannage

Ce que vous saurez faire

• Vous savez traiter une connexion en échec dans l'ordre du diagnostic au lieu de deviner.
• Vous savez corriger n'importe quelle défaillance de certificat courante à partir du seul code de statut.
• Vous savez franchir un NAT et un réseau segmenté selon Purdue avec le reverse connect.
• Vous savez déchiffrer et lire une session OPC UA dans Wireshark.
• Vous savez distinguer un problème serveur d'un problème client et d'un problème réseau.

Programme

1. 1
   Suivre l'ordre de diagnostic

   Joignabilité TCP, puis GetEndpoints avec la sécurité None, puis inspection des EndpointDescriptions, puis tentative de session sécurisée. Sauter une étape, c'est ce qui pousse les gens à deviner.

   Ressource La séquence en quatre étapes exécutée contre un serveur défaillant, avec la sortie de chaque étape

   8 min
2. 2
   Corriger une connexion rejetée

   Port fermé, mauvais port, pare-feu, serveur qui n'écoute pas. Les distinguer en une minute.

   Ressource nc, ss et une tentative de connexion client face à quatre modes de défaillance, avec chaque sortie

   8 min
3. 3
   Corriger une URL d'endpoint discordante

   Le serveur annonce le nom d'hôte avec lequel il a été configuré, pas celui que vous avez composé. Quoi changer et où.

   Livrable Un serveur annonçant un nom d'hôte interne inatteignable, avec l'EndpointDescription renvoyée

   8 min
4. 4
   Corriger un échec de confiance, dans les deux sens

   Le flux rejected vers trusted mené complètement plutôt qu'à moitié. La plupart des gens ne corrigent qu'un côté.

   Ressource Une première connexion qui échoue, et les deux modifications de liste de confiance qui la réparent, en captures d'écran dans UaExpert

   9 min
5. 5
   Corriger un nom d'hôte ou un URI discordant dans un certificat

   Les entrées SAN, l'ApplicationUri, et pourquoi se connecter par IP échoue face à un certificat émis pour un FQDN.

   Livrable Un dump openssl du certificat défaillant à côté du journal de connexion

   8 min
6. 6
   Réparer une chaîne cassée

   Intermédiaires manquants, CRL absentes, et une CA d'entreprise sans keyCertSign ni cRLSign.

   Livrable Un échec de validation de chaîne remonté avec openssl jusqu'à l'usage de clé manquant

   8 min
7. 7
   Corriger un problème d'horloge

   Des échecs de validité temporelle sur des certificats parfaitement valides, et pourquoi NTP est une mesure de sécurité.

   Livrable Un certificat valide rejeté sur une machine avec 40 minutes de dérive, puis accepté après NTP

   6 min
8. 8
   Traverser le NAT avec le reverse connect

   ReverseHello, le schéma uniquement sortant pour un réseau segmenté selon Purdue, et le comportement peu évident où le client doit récupérer le certificat, perdre le canal, puis attendre le hello suivant.

   Ressource Une session en reverse connect établie à travers un NAT, avec la séquence complète des paquets

   10 min
9. 9
   Diagnostiquer un client qui se connecte puis tombe

   Expiration de session, keep-alive, un serveur qui interrompt après un reverse connect non pris en charge, et renégociation de certificat. Quatre causes, un seul symptôme.

   Ressource Quatre extraits de capture présentant le même symptôme visible et quatre causes racines différentes

   8 min
10. 10
    Corriger un décalage d'indice de namespace

    Un ns= en dur après un chargement d'automate. Le correctif immédiat et le correctif permanent.

    Ressource Le NamespaceArray avant et après un chargement de programme, avec le code client qui a cassé et sa correction

    8 min
11. 11
    Trouver la perte de données que personne n'a signalée

    Un débordement de file signalé comme Good. Comment le détecter après coup et prouver qu'il a eu lieu.

    Livrable Un jeu de données avec un trou silencieux, et le bit de débordement qui montre où

    8 min
12. 12
    Diagnostiquer un serveur lent

    Charge d'échantillonnage, trop d'intervalles distincts, diagnostics laissés actifs, tempêtes de connexions, et comment déterminer de quoi il s'agit avant de commencer à modifier quoi que ce soit.

    Ressource Les diagnostics d'un serveur surchargé, avec la seule modification qui a résolu le problème

    9 min
13. 13
    Lire OPC UA dans Wireshark

    Le dissecteur intégré, le filtre opcua, et la lecture de la négociation message par message.

    Livrable Une capture complète et annotée d'une connexion, du Hello à la première réponse Publish

    8 min
14. 14
    Lire une session chiffrée

    Extraire les clés de session et décoder un canal SignAndEncrypt: le seul moyen de déboguer certains problèmes.

    Livrable Une capture chiffrée décodée avec les clés extraites, montrant les appels de service à l'intérieur

    6 min

Lab

Dernière vérification le 7 septembre 2026 par rapport à OPC UA 1.05.07. OPC UA Connect est une ressource pédagogique et n'est pas affiliée à l'OPC Foundation.