OPC UA客户端连新服务器报错：如何创建正确应用证书？

一、生成正确的应用证书 #

用库自带的CertificateGenerator生成符合要求的证书，核心注意点是证书URI必须和客户端配置的ApplicationUri完全一致，代码示例：

var applicationName = "YourClientApp";
var applicationUri = $"urn:{Dns.GetHostName()}:{applicationName}";
var certGenerator = new CertificateGenerator();
certGenerator.Subject = new X500DistinguishedName($"CN={applicationName}");
certGenerator.Issuer = certGenerator.Subject;
certGenerator.NotBefore = DateTime.UtcNow.AddDays(-1);
certGenerator.NotAfter = DateTime.UtcNow.AddYears(5);
certGenerator.GenerateKeyPair(KeyStrength.Rsa2048);
certGenerator.GenerateSignature(SignatureAlgorithm.Sha256);

// Debian下推荐用用户目录下的OPC UA标准PKI存储路径
var pkiPath = Path.Combine(Environment.GetFolderPath(Environment.SpecialFolder.UserProfile), ".opcua", "pki");
var ownCertStore = new DirectoryCertificateStore(DirectoryCertificateStoreType.Own, Path.Combine(pkiPath, "own"));
ownCertStore.Add(certGenerator.Certificate);

生成后手动确认证书文件出现在~/.opcua/pki/own/certs目录下，文件名是证书的十六进制Thumbprint，后缀为.der。

二、排查Debian环境的证书存储问题 #

• 权限检查：确保客户端进程能读写PKI目录，执行命令修正权限：

  chmod -R 700 ~/.opcua/pki
  

• 路径正确性：代码里绝对不能用Windows风格硬编码路径（比如C:\...），必须用跨平台的路径拼接方式，比如Path.Combine结合Environment.SpecialFolder获取用户目录。
• 证书存在性：进入~/.opcua/pki/own/certs目录，确认证书文件存在，且文件名和代码中读取的证书Thumbprint完全匹配。

三、检查Windows服务器的配置 #

• 信任客户端证书：多数OPC UA服务器默认会拒绝未信任的客户端证书，登录Windows实体机的OPC UA服务器管理界面，将客户端证书添加到信任列表中。
• 端点匹配：确认客户端连接的端点URL正确，且安全策略（比如Basic256Sha256或None）、安全模式（比如SignAndEncrypt或None）和服务器端点配置完全一致。如果服务器要求加密，客户端必须配置对应安全等级的证书。

四、代码里的常见错误点 #

• 配置初始化要精准：确保ApplicationConfiguration的证书存储路径和生成证书时的路径完全一致，示例配置：

  var config = new ApplicationConfiguration
  {
      ApplicationName = "YourClientApp",
      ApplicationUri = applicationUri,
      ApplicationType = ApplicationType.Client,
      SecurityConfiguration = new SecurityConfiguration
      {
          AutoAcceptUntrustedCertificates = true, // 仅测试环境使用，生产环境禁止开启
          CertificateStoreType = CertificateStoreType.Directory,
          CertificateStorePath = Path.Combine(pkiPath, "own"),
          TrustedPeerCertificates = new CertificateTrustList
          {
              StoreType = CertificateStoreType.Directory,
              StorePath = Path.Combine(pkiPath, "trusted")
          }
          // 其他安全配置按需补充
      }
  };
  // 必须执行配置验证，提前发现路径或证书问题
  await config.Validate(ApplicationType.Client);
  

• 证书加载验证：在调用Session.Create()之前，检查config.SecurityConfiguration.ApplicationCertificate是否不为null，如果为null，说明证书未被正确读取，回头排查路径和证书文件名。
• 避免证书生成后未存入指定存储：生成证书后必须调用ownCertStore.Add()将证书存入配置对应的存储目录，否则配置无法读取到证书。

内容的提问来源于stack exchange，提问作者FaceHoof