尧图网站建设 
TDengine 接入 Ignition OPC UA Server从匿名联调到证书加密生产的完整实践指南【免费下载链接】TDengineHigh-performance, scalable time-series database designed for Industrial IoT (IIoT) scenarios项目地址: https://gitcode.com/GitHub_Trending/tde/TDengine本文以 TDengine 的 taosExplorer 数据接入Data In功能为主体系统讲解如何通过 OPC UA 协议将 Ignition Gateway 中的数据实时同步进 TDengine 集群。全文围绕两种典型场景展开——跨服务器匿名连接仅用于可信网络的短期内部测试与跨服务器证书加密 用户名认证生产环境推荐并深入剖析 OPC UA 安全体系Secure Channel 与 Authentication 双层模型、Ignition 服务端配置、taosX 客户端证书生成与信任流程以及常见错误的排查方法。阅读完本文你将能够独立完成 Ignition → TDengine 的 OPC UA 数据接入任务的创建、安全加固与故障诊断。Ignition OPC UA Server 端点配置Bind Port 为 62541Bind Addresses 改为 0.0.0.0Endpoint Addresses 中加入服务器实际 IP使跨服务器客户端可以访问端点。OPC UA 安全的两层模型先理解再排障OPC UA 的安全机制由两个彼此独立的层次构成两者都必须满足才能建立合法连接。绝大多数连接失败都可以归结为其中某一层没有配置正确——先厘清这个分层排障会容易得多。Secure Channel安全通道层Secure Channel 提供传输层加密防止客户端与服务器之间的数据被窃听或篡改。建立安全通道需要两部分凭据Secure Channel Certificate安全通道证书即 taosX 客户端自身的证书在握手时出示给 OPC UA 服务器用于标识客户端身份。Certificates Private Key证书私钥与上述证书匹配的私钥用于签名与解密。Authentication身份认证层Authentication 验证打开会话的用户身份支持三种方式Anonymous匿名匿名访问前提是服务器允许匿名Anonymous Access Allowed。Username用户名用户名 密码。Certificate证书基于证书的用户身份要求服务器端配置了证书到用户的映射关系。重要提示从 Ignition 中下载的证书例如ignition-server.der是服务器自身的证书不能用作客户端证书。你必须按照 Generate the taosX OPC UA Client Certificate 中的方法单独生成一份客户端证书和私钥。Ignition 服务端配置在 Ignition Gateway 中打开Config → Connections → OPC → OPC UA Server Settings → General Settings页面依次完成以下三部分配置。端点设置Endpoint Settings设置项推荐值说明Bind Port62541OPC UA 监听端口Bind Addresses0.0.0.0若 TDengine 与 Ignition 部署在不同服务器必须设置为0.0.0.0Endpoint Addresses添加服务器 IP例如192.168.2.149保证客户端可以访问到该端点Security Policies[x]Basic256Sha256勾选你计划使用的安全策略Security Mode[x]SignAndEncrypt启用签名并加密模式认证设置Authentication Settings在同一页面的AUTHENTICATION区域使用用户名认证时将User Source设置为default推荐而不要使用opcua-module。注意User Source 务必使用default。内置的opcua-module用户源是独立的一套体系需要额外的用户/权限配置实践中极易触发StatusBadUserAccessDenied错误。权限设置Permissions切换到Permissions标签页确认AuthenticatedUser角色拥有所需权限角色BrowseReadWriteCallAuthenticatedUser[x][x][x][x]Default Tag Provider Permissions默认 Tag Provider 权限也需要按同样方式配置。场景一跨服务器匿名连接安装并启动 Ignition 后进入Connections OPC OPC server settings。默认情况下 Ignition 只绑定到localhost端点地址中包含hostname与localhost在这种状态下如果 TDengine 与 Ignition 分属不同服务器连接必然失败——因为 Ignition 只在本地端口62541上监听。修改方法将Bind Addresses改为0.0.0.0在Endpoint Addresses中添加 Ignition 服务器的 IP。验证监听地址在cmd中执行以下命令即可确认 Ignition 已在0.0.0.0:62541上监听netstat -ano | findstr 62541输出中出现TCP 0.0.0.0:62541 ... LISTENING即表示监听生效。在 taosExplorer 中建立匿名连接配置完成后即可在 taosExplorer 的Data In → Create New Data In Task中选择OPC UA作为数据源类型使用匿名模式连接 Ignition警告匿名模式既不校验身份也不提供传输层加密。只能在可信网络上用于短时测试生产环境必须切换到证书加密方案。场景二证书加密 用户名认证生产推荐该场景以Basic256Sha256 SignAndEncrypt 用户名认证组合为例完整走通服务端开启加密 → 生成客户端证书 → 服务端信任证书 → taosExplorer 配置连接 → 验证的闭环。第一步在 Ignition 上启用 SignAndEncrypt调整配置并保存Security PolicyBasic256Sha256Security ModeSignAndEncryptUser Sourcedefault第二步生成客户端证书在任意一台机器上按照 Generate the taosX OPC UA Client Certificate 中的标准流程生成client_cert.pem和client_key.pem。这里提炼出几个必须满足的硬性要求格式必须是 PEMtaosX OPC UA 插件通过tls.LoadX509KeyPair()加载证书因此 DER、PKCS#12 等其他格式会被直接拒绝。Client Application URI 固定为urn:taosx-opc:client证书的 Subject Alternative NameSAN必须包含URI:urn:taosx-opc:client否则服务器会以StatusBadCertificateUriInvalid拒绝连接。可以在任意机器上生成只需将生成的client_cert.pem与client_key.pem上传到 taosExplorer 即可。Linux/macOS 下的核心生成命令如下Windows 下也有等价的cmd.exe脚本与 PowerShell 命令完整脚本见上文链接文档# 创建配置文件 cat /tmp/opcua_client_ext.cnf EOF [req] distinguished_name req_dn x509_extensions v3_ext prompt no [req_dn] CN taosx-opc-client O TDengine [v3_ext] basicConstraints CA:FALSE keyUsage digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment extendedKeyUsage clientAuth, serverAuth subjectAltName URI:urn:taosx-opc:client EOF # 生成证书与私钥有效期 10 年 openssl req -x509 -newkey rsa:2048 -nodes \ -keyout client_key.pem \ -out client_cert.pem \ -days 3650 \ -config /tmp/opcua_client_ext.cnf生成后务必校验 SAN 是否包含必需的 Application URIopenssl x509 -in client_cert.pem -noout -subject -ext subjectAltName预期输出subjectCNtaosx-opc-client, OTDengine X509v3 Subject Alternative Name: URI:urn:taosx-opc:client第三步在 Ignition 中信任客户端证书证书生成后Ignition 必须显式信任它信任流程如下在 taosExplorer 中使用新证书执行一次Check Connection。它会失败——这是预期行为。打开 Ignition Gateway →Config → Connections → OPC → Security → Server标签页。在Quarantined Certificates隔离证书下找到taosx-opc-client证书。点击右侧⋮菜单 →Trust。确认证书已移动到Trusted Certificates受信任证书列表中。第四步在 taosExplorer 中配置连接进入 taosExplorer →Data In → Create New Data In Task选择OPC UA作为数据源类型。连接配置Connection Configuration设置项值说明Server Endpoint192.168.2.149:62541Ignition 服务器 IP 端口Security ModeSignAndEncrypt必须与 Ignition 侧一致Security PolicyBasic256Sha256必须与 Ignition 侧一致Secure Channel Certificate上传client_cert.pem客户端证书Certificates Private Key上传client_key.pem客户端私钥认证Authentication切换到Username标签页输入在 Ignition 所配置的 User Source 中真实存在的用户名与密码。再次点击Check Connection验证连通性关于 OPC UA 安全模式与策略的补充在上述操作中SignAndEncrypt是安全模式Basic256Sha256是安全策略。二者是 OPC UA 安全体系中不同维度的概念详见 OPC UA 数据接入总览安全模式决定通信数据的保护级别None明文传输、Sign数字签名保证完整性、SignAndEncrypt签名 加密同时保证完整性、真实性与机密性。安全策略定义安全模式中加密与校验机制的具体实现包括所用加密算法、密钥长度与数字证书。可用策略包括Basic128Rsa15、Basic256、Basic256Sha256、Aes128Sha256RsaOaep、Aes256Sha256RsaPss等。Ignition 集成场景推荐Basic256Sha256。当安全模式为Sign或SignAndEncrypt时Secure Channel Certificate与Certificates Private Key都是必填项。另外如果 taosX 无法直连 OPC UA Server例如服务器位于隔离的 OT 网络或 taosX 部署在公网无法访问内网可以在一台能访问 OPC UA Server 的主机上部署 taosX-Agent 作为转发通道详见 Install taosX-Agent。故障排查错误原因解决方法StatusBadIdentityTokenInvalid (0x80200000)身份令牌被拒绝。通常是认证方式错误或证书未被服务器接受。若使用 Certificate 认证改为 Username确认 Ignition 的 User Source 配置正确。StatusBadUserAccessDenied (0x801F0000)凭据正确但用户无权限——通常是用户不在所配置的 User Source 中。将 Ignition 的 User Source 设为default并确保该用户真实存在。StatusBadSecurityChecksFailed安全通道建立失败。要么证书未被信任要么安全策略不一致。在 Ignition 的 Security 页面信任客户端证书确保两端使用相同的安全策略。StatusBadCertificateUriInvalid证书 SAN 中的 URI 与客户端 Application URI 不匹配。重新生成证书确保 SAN 包含URI:urn:taosx-opc:client。连接超时网络不可达或 Ignition 未在正确地址上监听。确认 Bind Address 为0.0.0.0、Endpoint Addresses 包含服务器 IP且防火墙放行端口62541。关键要点回顾安全是两层独立的Secure Channel传输加密需要客户端证书 私钥与 Authentication用户身份匿名/用户名/证书三选一必须同时满足。ignition-server.der不能当客户端证书用客户端证书必须按 01-client-certificate.md 单独生成且 SAN 必须携带URI:urn:taosx-opc:client。跨服务器部署时Ignition 的 Bind Addresses 必须改为0.0.0.0Endpoint Addresses 中加入服务器 IP并用netstat -ano | findstr 62541验证监听。生产环境推荐Basic256Sha256 SignAndEncrypt UsernameUser Source 为 default组合并在 Ignition 的 Security 页面显式 Trust 客户端证书——首次 Check Connection 失败属预期现象。所有安全相关配置Security Mode、Security Policy、User Source、证书信任都要求两端一致任何一端不一致都会在 Check Connection 阶段以对应状态码暴露出来可对照上表快速定位。相关文档Generate the taosX OPC UA Client Certificate客户端证书生成的完整脚本Windows cmd / PowerShell / Linux / macOS与校验方法GE CSS OPC UA Server Integration Guide另一类常见 OPC UA Server 的集成与证书绑定流程OPC UA 数据接入总览数据源添加、数据点筛选、CSV 批量配置、采集模式与高级选项的完整说明Install taosX-Agent隔离 OT 网络场景下的远程 Agent 部署【免费下载链接】TDengineHigh-performance, scalable time-series database designed for Industrial IoT (IIoT) scenarios项目地址: https://gitcode.com/GitHub_Trending/tde/TDengine创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 TDengine 接入 Ignition OPC UA Server：从匿名联调到证书加密生产的完整实践指南
TDengine 接入 Ignition OPC UA Server从匿名联调到证书加密生产的完整实践指南【免费下载链接】TDengineHigh-performance, scalable time-series database designed for Industrial IoT (IIoT) scenarios项目地址: https://gitcode.com/GitHub_Trending/tde/TDengine本文以 TDengine 的 taosExplorer 数据接入Data In功能为主体系统讲解如何通过 OPC UA 协议将 Ignition Gateway 中的数据实时同步进 TDengine 集群。全文围绕两种典型场景展开——跨服务器匿名连接仅用于可信网络的短期内部测试与跨服务器证书加密 用户名认证生产环境推荐并深入剖析 OPC UA 安全体系Secure Channel 与 Authentication 双层模型、Ignition 服务端配置、taosX 客户端证书生成与信任流程以及常见错误的排查方法。阅读完本文你将能够独立完成 Ignition → TDengine 的 OPC UA 数据接入任务的创建、安全加固与故障诊断。Ignition OPC UA Server 端点配置Bind Port 为 62541Bind Addresses 改为 0.0.0.0Endpoint Addresses 中加入服务器实际 IP使跨服务器客户端可以访问端点。OPC UA 安全的两层模型先理解再排障OPC UA 的安全机制由两个彼此独立的层次构成两者都必须满足才能建立合法连接。绝大多数连接失败都可以归结为其中某一层没有配置正确——先厘清这个分层排障会容易得多。Secure Channel安全通道层Secure Channel 提供传输层加密防止客户端与服务器之间的数据被窃听或篡改。建立安全通道需要两部分凭据Secure Channel Certificate安全通道证书即 taosX 客户端自身的证书在握手时出示给 OPC UA 服务器用于标识客户端身份。Certificates Private Key证书私钥与上述证书匹配的私钥用于签名与解密。Authentication身份认证层Authentication 验证打开会话的用户身份支持三种方式Anonymous匿名匿名访问前提是服务器允许匿名Anonymous Access Allowed。Username用户名用户名 密码。Certificate证书基于证书的用户身份要求服务器端配置了证书到用户的映射关系。重要提示从 Ignition 中下载的证书例如ignition-server.der是服务器自身的证书不能用作客户端证书。你必须按照 Generate the taosX OPC UA Client Certificate 中的方法单独生成一份客户端证书和私钥。Ignition 服务端配置在 Ignition Gateway 中打开Config → Connections → OPC → OPC UA Server Settings → General Settings页面依次完成以下三部分配置。端点设置Endpoint Settings设置项推荐值说明Bind Port62541OPC UA 监听端口Bind Addresses0.0.0.0若 TDengine 与 Ignition 部署在不同服务器必须设置为0.0.0.0Endpoint Addresses添加服务器 IP例如192.168.2.149保证客户端可以访问到该端点Security Policies[x]Basic256Sha256勾选你计划使用的安全策略Security Mode[x]SignAndEncrypt启用签名并加密模式认证设置Authentication Settings在同一页面的AUTHENTICATION区域使用用户名认证时将User Source设置为default推荐而不要使用opcua-module。注意User Source 务必使用default。内置的opcua-module用户源是独立的一套体系需要额外的用户/权限配置实践中极易触发StatusBadUserAccessDenied错误。权限设置Permissions切换到Permissions标签页确认AuthenticatedUser角色拥有所需权限角色BrowseReadWriteCallAuthenticatedUser[x][x][x][x]Default Tag Provider Permissions默认 Tag Provider 权限也需要按同样方式配置。场景一跨服务器匿名连接安装并启动 Ignition 后进入Connections OPC OPC server settings。默认情况下 Ignition 只绑定到localhost端点地址中包含hostname与localhost在这种状态下如果 TDengine 与 Ignition 分属不同服务器连接必然失败——因为 Ignition 只在本地端口62541上监听。修改方法将Bind Addresses改为0.0.0.0在Endpoint Addresses中添加 Ignition 服务器的 IP。验证监听地址在cmd中执行以下命令即可确认 Ignition 已在0.0.0.0:62541上监听netstat -ano | findstr 62541输出中出现TCP 0.0.0.0:62541 ... LISTENING即表示监听生效。在 taosExplorer 中建立匿名连接配置完成后即可在 taosExplorer 的Data In → Create New Data In Task中选择OPC UA作为数据源类型使用匿名模式连接 Ignition警告匿名模式既不校验身份也不提供传输层加密。只能在可信网络上用于短时测试生产环境必须切换到证书加密方案。场景二证书加密 用户名认证生产推荐该场景以Basic256Sha256 SignAndEncrypt 用户名认证组合为例完整走通服务端开启加密 → 生成客户端证书 → 服务端信任证书 → taosExplorer 配置连接 → 验证的闭环。第一步在 Ignition 上启用 SignAndEncrypt调整配置并保存Security PolicyBasic256Sha256Security ModeSignAndEncryptUser Sourcedefault第二步生成客户端证书在任意一台机器上按照 Generate the taosX OPC UA Client Certificate 中的标准流程生成client_cert.pem和client_key.pem。这里提炼出几个必须满足的硬性要求格式必须是 PEMtaosX OPC UA 插件通过tls.LoadX509KeyPair()加载证书因此 DER、PKCS#12 等其他格式会被直接拒绝。Client Application URI 固定为urn:taosx-opc:client证书的 Subject Alternative NameSAN必须包含URI:urn:taosx-opc:client否则服务器会以StatusBadCertificateUriInvalid拒绝连接。可以在任意机器上生成只需将生成的client_cert.pem与client_key.pem上传到 taosExplorer 即可。Linux/macOS 下的核心生成命令如下Windows 下也有等价的cmd.exe脚本与 PowerShell 命令完整脚本见上文链接文档# 创建配置文件 cat /tmp/opcua_client_ext.cnf EOF [req] distinguished_name req_dn x509_extensions v3_ext prompt no [req_dn] CN taosx-opc-client O TDengine [v3_ext] basicConstraints CA:FALSE keyUsage digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment extendedKeyUsage clientAuth, serverAuth subjectAltName URI:urn:taosx-opc:client EOF # 生成证书与私钥有效期 10 年 openssl req -x509 -newkey rsa:2048 -nodes \ -keyout client_key.pem \ -out client_cert.pem \ -days 3650 \ -config /tmp/opcua_client_ext.cnf生成后务必校验 SAN 是否包含必需的 Application URIopenssl x509 -in client_cert.pem -noout -subject -ext subjectAltName预期输出subjectCNtaosx-opc-client, OTDengine X509v3 Subject Alternative Name: URI:urn:taosx-opc:client第三步在 Ignition 中信任客户端证书证书生成后Ignition 必须显式信任它信任流程如下在 taosExplorer 中使用新证书执行一次Check Connection。它会失败——这是预期行为。打开 Ignition Gateway →Config → Connections → OPC → Security → Server标签页。在Quarantined Certificates隔离证书下找到taosx-opc-client证书。点击右侧⋮菜单 →Trust。确认证书已移动到Trusted Certificates受信任证书列表中。第四步在 taosExplorer 中配置连接进入 taosExplorer →Data In → Create New Data In Task选择OPC UA作为数据源类型。连接配置Connection Configuration设置项值说明Server Endpoint192.168.2.149:62541Ignition 服务器 IP 端口Security ModeSignAndEncrypt必须与 Ignition 侧一致Security PolicyBasic256Sha256必须与 Ignition 侧一致Secure Channel Certificate上传client_cert.pem客户端证书Certificates Private Key上传client_key.pem客户端私钥认证Authentication切换到Username标签页输入在 Ignition 所配置的 User Source 中真实存在的用户名与密码。再次点击Check Connection验证连通性关于 OPC UA 安全模式与策略的补充在上述操作中SignAndEncrypt是安全模式Basic256Sha256是安全策略。二者是 OPC UA 安全体系中不同维度的概念详见 OPC UA 数据接入总览安全模式决定通信数据的保护级别None明文传输、Sign数字签名保证完整性、SignAndEncrypt签名 加密同时保证完整性、真实性与机密性。安全策略定义安全模式中加密与校验机制的具体实现包括所用加密算法、密钥长度与数字证书。可用策略包括Basic128Rsa15、Basic256、Basic256Sha256、Aes128Sha256RsaOaep、Aes256Sha256RsaPss等。Ignition 集成场景推荐Basic256Sha256。当安全模式为Sign或SignAndEncrypt时Secure Channel Certificate与Certificates Private Key都是必填项。另外如果 taosX 无法直连 OPC UA Server例如服务器位于隔离的 OT 网络或 taosX 部署在公网无法访问内网可以在一台能访问 OPC UA Server 的主机上部署 taosX-Agent 作为转发通道详见 Install taosX-Agent。故障排查错误原因解决方法StatusBadIdentityTokenInvalid (0x80200000)身份令牌被拒绝。通常是认证方式错误或证书未被服务器接受。若使用 Certificate 认证改为 Username确认 Ignition 的 User Source 配置正确。StatusBadUserAccessDenied (0x801F0000)凭据正确但用户无权限——通常是用户不在所配置的 User Source 中。将 Ignition 的 User Source 设为default并确保该用户真实存在。StatusBadSecurityChecksFailed安全通道建立失败。要么证书未被信任要么安全策略不一致。在 Ignition 的 Security 页面信任客户端证书确保两端使用相同的安全策略。StatusBadCertificateUriInvalid证书 SAN 中的 URI 与客户端 Application URI 不匹配。重新生成证书确保 SAN 包含URI:urn:taosx-opc:client。连接超时网络不可达或 Ignition 未在正确地址上监听。确认 Bind Address 为0.0.0.0、Endpoint Addresses 包含服务器 IP且防火墙放行端口62541。关键要点回顾安全是两层独立的Secure Channel传输加密需要客户端证书 私钥与 Authentication用户身份匿名/用户名/证书三选一必须同时满足。ignition-server.der不能当客户端证书用客户端证书必须按 01-client-certificate.md 单独生成且 SAN 必须携带URI:urn:taosx-opc:client。跨服务器部署时Ignition 的 Bind Addresses 必须改为0.0.0.0Endpoint Addresses 中加入服务器 IP并用netstat -ano | findstr 62541验证监听。生产环境推荐Basic256Sha256 SignAndEncrypt UsernameUser Source 为 default组合并在 Ignition 的 Security 页面显式 Trust 客户端证书——首次 Check Connection 失败属预期现象。所有安全相关配置Security Mode、Security Policy、User Source、证书信任都要求两端一致任何一端不一致都会在 Check Connection 阶段以对应状态码暴露出来可对照上表快速定位。相关文档Generate the taosX OPC UA Client Certificate客户端证书生成的完整脚本Windows cmd / PowerShell / Linux / macOS与校验方法GE CSS OPC UA Server Integration Guide另一类常见 OPC UA Server 的集成与证书绑定流程OPC UA 数据接入总览数据源添加、数据点筛选、CSV 批量配置、采集模式与高级选项的完整说明Install taosX-Agent隔离 OT 网络场景下的远程 Agent 部署【免费下载链接】TDengineHigh-performance, scalable time-series database designed for Industrial IoT (IIoT) scenarios项目地址: https://gitcode.com/GitHub_Trending/tde/TDengine创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考