OPC UA服务器在本地工程站上可以连接，跨VLAN或经过工业DMZ后却提示BadCertificate或Endpoint不可用。端口测试成功只能证明TCP路径存在；OPC UA还会交换Endpoint、安全策略、应用证书和用户身份。
OPC UA连接经过哪些步骤
- 客户端访问发现地址并获取Endpoint列表；
- 选择消息安全模式、安全策略和传输配置；
- 验证服务端应用证书并建立SecureChannel；
- 创建Session并提交用户身份；
- 浏览节点、建立订阅并接收数据变化。
任何一步都可能使用不同地址或权限，因此“发现成功、会话失败”是有价值的分界。
Endpoint URL为何跨网后失效
服务器返回的Endpoint可能包含内网主机名或不可路由地址。本地客户端能解析，DMZ采集器却不能。不能只在外层做端口映射，还要让返回地址、DNS和证书名称与客户端实际访问方式一致，并确认产品是否支持Endpoint重写或反向连接。
普通HTTP代理通常不理解OPC UA Binary
常见opc.tcp使用OPC UA Binary over TCP，不是网页协议。HTTP代理即使能做通用CONNECT，也不代表工业客户端支持。跨区接入应优先采用工业防火墙、DMZ聚合服务器、厂商网关或OPC UA Reverse Connect等受支持架构。
应用证书不仅检查域名
OPC UA应用证书包含应用身份，客户端会检查签发链、有效期、用途、应用URI或主机信息。首次连接时，证书可能进入Rejected目录等待管理员批准。盲目把所有证书拖入Trusted，会把身份审核变成形式。
信任是双向的吗
在使用消息签名或加密时，客户端和服务器都可能维护对方应用证书的信任列表。服务端证书已被客户端信任，不代表客户端证书也被服务端接受。检查双方Rejected、Trusted与Issuer目录，以及服务重载是否生效。
安全策略需要兼容但不能降级
老设备可能只支持已经不推荐的算法，新客户端默认禁用后就无法协商。长期方案应评估固件升级、隔离网关或设备替换，而不是把整个环境降到SecurityPolicy None。生产数据完整性和控制命令尤其需要签名与加密。
用户身份是另一层权限
SecureChannel验证的是应用，Session还可能使用用户名、证书或其他用户令牌。应用证书成功但用户无权读取某节点，会返回权限错误。应按设备、产线和角色授予最小权限，写控制点与只读采集账号分离。
NAT与反向连接
服务器位于不允许入站访问的控制网时，简单端口映射会扩大暴露。OPC UA Reverse Connect允许服务器主动连接到受控客户端入口，但是否支持、如何认证和高可用取决于产品。它不是绕过防火墙，而是改变经审批的连接方向。
订阅断线后数据会怎样
连接恢复不代表断线期间每个变化都能补回。采样队列、Publishing Interval、Lifetime、Sequence Number与历史访问能力决定数据缺口。监控平台要标记质量和缺失时段，不能用最后一个值冒充实时值。
证书轮换流程
先生成或签发新证书，验证应用URI和SAN，再在客户端侧预置信任，安排服务器切换并保留可控回退。证书握手的通用排查可参考mTLS证书链、SNI与终止位置，但OPC UA应用信任仍要按产品规则处理。
排查清单
- 保存发现URL与实际返回的每个Endpoint；
- 验证DNS、路由、端口及证书中的应用URI和名称；
- 检查客户端与服务器双方Rejected/Trusted列表；
- 核对安全策略、消息模式和用户令牌类型；
- 从只读节点测试，再验证订阅和断线恢复；
- 不要在生产控制网临时开放公网端口或关闭安全策略。
结论
OPC UA跨网故障的核心不只是TCP端口，而是Endpoint可达性、应用证书、安全策略和会话权限是否共同成立。通过工业DMZ或受支持网关收敛连接，比把控制设备直接暴露给通用代理更稳妥。
