KEPServerEX 配置 OPC DA 通信

OPC（OLE for Process Control）是用于工业自动化的一种通信标准，在 ICS 环境中的应用十分广泛，其中 OPC DA（Data Access）是早期使用较多的一种 OPC 协议。相较于近些年较为常见的 OPC UA，OPC DA 十分依赖 Windows 操作系统的 DCOM 技术，这在十几年前可能还便于工程师迅速组网并建立连接，但在 ICT 飞速发展的今天，其在通讯方式、跨平台性等多方面都展现出了一定弊端。但是对于 ICS 安全研究人员来说，OPC DA 依旧是仍在使用的技术之一，所以还是有必要进行了解和研究。

本文就来聊一下如何搭建 OPC DA 的通讯环境。

基础环境

OPC DA Server

Windows 10 Enterprise LTSC 2021
KEPServerEX 6.4.321.0

OPC DA Client

Windows 10 Enterprise LTSC 2021
KEPServerEX OPC Quick Client

安装

Kepware 在 Free Demo 上还是比较友好的，包括 KEPServerEX 在内的所有产品都可以直接在官网下载演示版本，功能与正式购买的版本一致，只是在使用 2 小时后会关闭软件，需要重新启动。

可以在 Kepware 官网的 KEPServerEX 连接平台 | OPC 服务器 | Kepware 页面填写一个表单来获取演示版本的软件，或者我更推荐注册一个 My Kepware 账号，这样就可以在 My Kepware 的首页下载任意版本的 Demo，以及 TIA Portal Utility 工具。

服务器的安装过程就不再赘述，无脑下一步即可。

客户端在安装时只选择 OPC Quick Client 即可。

配置

OPC DA 主要以 Windows 操作系统的 DCOM 技术为基础，而 DCOM 显然不是一个开箱即用的技术，需要先在 Windows 中进行一大堆配置。好在 Kepware 为我们提供了一个配置指南，跟随指南一步步配置完成就可以使用 OPC DA 了。配置指南可以在 Remote OPC DA (DCOM) Configuration Guide - Kepware 下载。

配置用户及用户组

不同于访问 Web 服务器，要想从远程访问一个 OPC DA 服务器，你需要的不仅是服务器的 IP（或者主机名），还有用户凭据，这意味着必须先配置用户及用户组。

对一个 Windows 局域网而言，常用的网络资源管理模式基本就是域和工作组。对工作组来说， OPC DA 服务器与客户端必须使用相同的密码登录相同的用户；对域来说，只需要在域控中加入用户就可以了。

配置一个域显然要比使用工作组麻烦一点，况且每台 Windows 电脑都默认加入了“WORKGROUP”工作组，所以下文中会以工作组的模式来配置。

创建本地用户及用户组

按 Win + R，输入“lusrmgr.msc”启动本地用户和组管理，创建一个新用户 OPCUser，密码为 123456。

然后创建一个新用户组 OPCGroup。

将用户添加到用户组

右键点击刚才创建的用户组，点击“添加到组”，在弹出的属性窗口中点击“添加”。在选择用户窗口输入刚才创建的用户的名称“OPCUser”，点击“检查名称”，此时用户名会变成带有下划线的完整格式，点击“确定”即可。

之后，用户组属性对话框中就会显示刚才添加的成员。

前文中提到， OPC DA 服务器与客户端必须使用相同的密码登录相同的用户，所以在服务器与客户端上都需要进行上述操作。

配置服务器运行时环境

配置完用户及用户组后，需要对 OPC DA 服务器的运行时环境进行相应的配置。

OPC 连接安全

为了连接安全，首先要确认 KEPServerEX 使用了 DCOM 提供的安全选项，从而强制启用用户认证。同时指南中提到，2022 年 6 月之后的 Windows 系统不再支持禁用这一选项，所以需要确认这个选项是否开启。

右键点击任务栏中的 KEPServerEX 图标，点击“设置”，在弹出的设置对话框中点击“运行时选项”选项卡，确认“OPC 连接安全”中的“使用 DCOM 配置设置”复选框是选中状态，之后点击“确定”。

设置服务登录身份

当 OPC 服务器以服务模式运行时，那么服务必须设置为以指定用户身份来运行，这样客户端才能对服务器发来的回调进行鉴权。

按 Win + R，输入“services.msc”启动服务管理，找到 KEPServerEX 的运行时服务“KEPServerEX 6.4 Runtime”，右键点击该服务，点击“属性”，打开服务属性对话框。

在对话框中点击“登录”选项卡，将登录身份选为“此账户”，之后点击右侧的“浏览”，在弹出的选择用户对话框输入之前创建的用户的名称“OPCUser”，点击“检查名称”，此时用户名会变成带有下划线的完整格式，点击“确定”即可。

最后输入用户密码，点击确认，然后重启服务即可。

配置 DCOM

配置完运行时环境后，理论上 OPC DA 服务器就可以正常运行了，但是要从远程进行 OPC DA 通讯的话，还需要针对 DCOM 进行一些配置。

配置应用程序

首先需要对作为 DCOM 组件的 KEPServerEX 进行配置。

按 Win + R，输入“dcomcnfg”启动组件服务管理，在左侧依次展开“组件服务->计算机->我的电脑->DCOM 配置”，找到“KEPServerEX 6.4”组件。

右键点击该组件，点击“属性”，打开组件属性对话框，在“常规”选项卡中，确认“身份验证级别”选项是“默认”。

点击“位置”选项卡，确认“在此计算机上运行应用程序”复选框是选中状态。

点击“安全”选项卡，确认“启动和激活权限”选项是“自定义”。

接着点击“启动和激活权限”右侧的“编辑”，在弹出的启动和激活权限对话框中点击“添加”，输入之前创建的用户组名称“OPCGroup”，点击“检查名称”然后点击“确定”，这样就将整个 OPC 用户组添加了进来。之后，在下方权限框中对所有权限勾选“允许”，接着点击“确定”。

然后点击“访问权限”右侧的“编辑”，重复前一步添加用户组“OPCGroup”，对所有权限勾选“允许”，之后点击“确定”。

最后点击“确定”，关闭组件属性对话框。

配置系统属性

接着需要配置一些系统相关的 DCOM 设置。

回到组件服务管理，依次展开“组件服务->计算机”，右键点击“我的电脑”，点击“属性”，打开我的电脑属性对话框。

点击“默认属性”选项卡，确认“在此计算机上启用分布式 COM”复选框是选中状态，“默认身份验证级别”选择“数据包完整性”，“默认模拟级别”选择“标识”。

点击“COM 安全”选项卡。

点击“访问权限”中的“编辑限制”，在弹出的访问权限对话框中，选择“ANONYMOUS LOGON”用户，并在下方权限框中对所有权限勾选“允许”，之后点击“确定”。

点击“启动和激活权限”中的“编辑限制”，在弹出的启动和激活权限对话框中，重复之前的步骤添加用户组“OPCGroup”，并在下方权限框中对所有权限勾选“允许”，之后点击“确定”。

最后点击“确定”，关闭我的电脑属性对话框。

配置防火墙

众所周知，Windows 防火墙只会带来各种莫名其妙的麻烦，尤其对于测试环境来说，首先要做的就是关掉 Windows 防火墙。Kepware 官方指南中提供了添加入站规则的步骤说明，就是将相关程序和 135 端口添加到规则中，有需要的话可以自行操作。

关闭 Windows Defender 防火墙也很简单，按 Win + R，输入“firewall.cpl”启动 Windows Defender 防火墙管理，点击左侧“启用或关闭 Windows Defender 防火墙”，将“专用网络设置”和“公用网络设置”都选择“关闭 Windows Defender 防火墙”即可。