OPC UA ne se connecte pas ? Les 6 causes habituelles

Presque tous les cas de « le client OPC UA n'arrive pas à se connecter » se ramènent à l'une de six causes : le mauvais endpoint, un port bloqué, une incompatibilité de mode de sécurité, un certificat non approuvé, de mauvais identifiants ou un problème d'accès aux nœuds. Parcourez cette liste dans l'ordre et vous corrigerez la grande majorité des échecs.

1. Mauvaise URL d'endpoint

L'endpoint doit être exact, schéma, hôte et port compris :

opc.tcp://192.168.10.20:4840        # correct
opc.tcp://plc-server:4840/UADiscovery
http://192.168.10.20:4840           # wrong scheme
192.168.10.20                        # missing scheme/port

• Utilisez l'IP routable ou le nom d'hôte résoluble du serveur, pas localhost, sauf si vous êtes sur le serveur.
• Vérifiez que l'endpoint est joignable depuis l'emplacement réel de la passerelle, et pas seulement depuis un portable d'ingénierie.
• Certains serveurs annoncent un nom d'hôte que le client ne sait pas résoudre: essayez l'IP explicitement.

2. Port bloqué / pare-feu

OPC UA binaire tourne généralement sur le TCP 4840 (les serveurs peuvent différer). Un timeout TCP ou un « connection refused » est presque toujours réseau ou pare-feu :

# is the port open from where the client runs?
nc -vz 192.168.10.20 4840
# or
Test-NetConnection 192.168.10.20 -Port 4840   # PowerShell

Si cela échoue : ouvrez le port sur le pare-feu du serveur ou de l'OS, vérifiez le VLAN et le routage, et confirmez qu'aucun NAT ne réécrit l'adresse annoncée par le serveur.

3. Mode de sécurité incompatible

Le client et le serveur doivent s'accorder sur une security policy et un mode (None, Sign ou Sign&Encrypt). Si le client demande une policy que le serveur ne propose pas (ou l'inverse), la négociation échoue. Listez d'abord les endpoints du serveur et choisissez-en un qui corresponde.

4. Certificat non approuvé (le plus fréquent)

Avec Sign ou Sign&Encrypt, le client et le serveur échangent des certificats X.509 et chacun doit approuver l'autre. Une première connexion échoue généralement parce que le certificat du client se trouve dans le dossier rejected du serveur (et/ou inversement).

1. Tentez la connexion une fois (elle sera rejetée).
2. Côté serveur, déplacez le certificat du client de pki/rejected vers pki/trusted/certs.
3. Côté client, approuvez le certificat du serveur quand il vous est proposé.
4. Reconnectez.

Vérifiez également que le certificat n'a pas expiré et que son application URI correspond. Détail complet : OPC UA security & certificates.

5. Identifiants incorrects ou absents

Si le serveur exige une authentification utilisateur, une connexion anonyme sera refusée. Vérifiez s'il attend un jeton anonyme, nom d'utilisateur / mot de passe ou un certificat utilisateur, et fournissez le bon.

6. Accès aux nœuds & attentes

Connecté mais les lectures/écritures échouent ? Vérifiez que la liste de nœuds est complète et stable, et clarifiez d'emblée si le besoin est en lecture seule ou si le client doit pouvoir écrire: l'accès en écriture est souvent restreint et doit être activé explicitement.

Checklist rapide

Dernière mise à jour le 4 septembre 2026 · Ressource pédagogique.