¿Qué es un túnel OPC?
Conectar OPC Classic entre dos máquinas en redes distintas es notoriamente doloroso por culpa de DCOM. Un túnel OPC es el arreglo estándar: reemplaza a DCOM con una conexión simple y amigable con los firewalls.
Tunel OPC en una línea: Un túnel OPC es un par de agentes de software que llevan datos OPC entre dos computadoras sobre una sola conexión TCP en lugar de Microsoft DCOM. Un agente actúa como cliente OPC hacia el servidor local; el otro presenta un servidor OPC local al cliente remoto. Entre ambos usan su propio protocolo, que pasa limpio a través de los firewalls, funciona entre dominios, y se recupera de forma automática de las caídas de red.
Por qué DCOM hace difícil el OPC remoto
OPC Classic (OPC DA, HDA y A&E) está construido sobre COM/DCOM de Microsoft. Eso está bien cuando el cliente y el servidor OPC corren en la misma máquina, pero conectarlos a través de una red expone los problemas de DCOM: negocia números de puerto dinámicos que los firewalls bloquean, depende de que coincidan la seguridad de Windows y la configuración de dominio, y puede colgarse por minutos cuando se pierde una conexión debido a los largos tiempos de espera de DCOM.
Estos problemas hacen que las conexiones DCOM directas entre planta y sitios remotos sean frágiles y difíciles de asegurar. Abrir los amplios rangos de puertos que DCOM necesita también es una preocupación de seguridad. El túnel existe específicamente para eliminar DCOM de la ruta de red.
Cómo un túnel reemplaza a DCOM
Un túnel usa dos componentes. En la máquina del lado del servidor, un agente de túnel corre como cliente OPC local: habla con el servidor OPC sobre COM local, lo cual no necesita seguridad de red. En la máquina del lado del cliente, el agente compañero se presenta como un servidor OPC local a la aplicación cliente real. De nuevo, esa conexión es COM local.
Los dos agentes luego se comunican entre sí sobre un solo puerto TCP definido usando su propio protocolo eficiente, a menudo con cifrado TLS. Como solo un puerto conocido cruza la red, las reglas de firewall son simples. El túnel también detecta rápido un enlace caído y lo restablece, y reporta un estado claro de mala calidad al cliente en lugar de dejarlo colgado - una mejora de confiabilidad importante sobre el DCOM crudo.
Túneles OPC en el SCADA de petróleo y gas
Muchas instalaciones de petróleo y gas todavía corren servidores OPC Classic embebidos en productos DCS y SCADA más antiguos. Cuando los operadores quieren jalar esos datos a una sala de control central, a un historiador corporativo, o a una plataforma en la nube, rara vez pueden - ni deberían - abrir DCOM a través de la WAN. Un túnel puentea el servidor OPC de planta hacia el destino sobre una sola conexión TCP cifrada.
Los túneles también se usan para cruzar la frontera OT/TI. Colocar los dos agentes a cada lado de una DMZ con firewall significa que lo único que atraviesa la frontera es un solo flujo autenticado y cifrado, que los equipos de seguridad pueden inspeccionar y controlar. Esto es mucho más defendible que los permisos DCOM dispersos que exigiría una conexión directa.
Donde es posible, las integraciones nuevas se saltan esto por completo usando OPC UA, que está diseñado para comunicación de red segura y no necesita túnel. Pero como tanto equipo instalado es OPC Classic, el túnel sigue siendo una herramienta común y práctica en sitios existentes.
Preguntas frecuentes
¿Necesito un túnel OPC para OPC UA?
No. OPC UA fue diseñado para comunicación de red segura sobre un solo puerto configurable con autenticación y cifrado integrados, así que no usa DCOM y no necesita túnel. El túnel es específicamente un rodeo para la dependencia de DCOM de OPC Classic.
¿Un túnel cifra los datos?
La mayoría de los productos de túnel ofrecen cifrado TLS en la conexión entre los dos agentes. Esta es otra ventaja sobre el DCOM crudo, que ofrece una seguridad débil e incómoda a través de las redes.
¿Cómo maneja un túnel un enlace de red roto?
A diferencia de DCOM, que puede colgarse por minutos, un túnel detecta rápido la caída, marca los elementos afectados como de mala calidad hacia el cliente, y se reconecta de forma automática cuando el enlace regresa, de modo que la aplicación cliente se recupera de forma limpia.
Servicios de automatización
¿Necesita convertir esta información en un sistema que funcione?
Merobix integra SCADA, programa PLC Allen-Bradley y Siemens, y diseña y fabrica tableros de control industrial.
Las solicitudes de reunión se revisan antes de confirmarse.