如何解决uaExpert连接X509认证OPC-UA服务器的证书信任问题

核心问题分析 #

服务器抛出的异常明确说明你的uaExpert客户端证书未被服务器加入信任列表，OPC-UA协议要求客户端证书必须被服务器信任才能建立加密连接，以下是具体解决步骤：

• 步骤1：手动将客户端证书加入服务器信任目录
  绝大多数OPC-UA服务器会维护三个证书存储目录：

  • trusted/certs：存放已信任的客户端/服务器证书
  • rejected/certs：存放被拒绝的证书
  • issuer/certs：存放证书颁发机构（CA）证书
    找到你的OPC-UA服务器的证书存储路径，将uaExpert使用的客户端证书文件（通常是.der或.pem格式）复制到trusted/certs目录下，之后重启服务器使配置生效。

• 步骤2：验证客户端证书的合法性
  用OpenSSL命令检查证书是否存在格式或内容错误：

  openssl x509 -in your_client_certificate.pem -text -noout
  

  重点确认：证书未过期、主体信息（CN/O/L等）与你配置的一致、私钥与证书匹配（可通过openssl pkey -in your_private_key.pem -pubout -out pubkey.pem提取公钥，再和证书公钥对比）。

• 步骤3：核对uaExpert的证书配置
  打开uaExpert，依次进入Settings > Security Settings：

  • 确认Client Certificate和Private Key的文件路径正确，没有指向错误的文件
  • 检查证书是否被uaExpert自身信任（如果服务器证书未被uaExpert信任也可能导致连接失败，但当前异常是服务器不信任客户端，所以优先处理服务器端）

• 步骤4：开启服务器自动信任（如果支持）
  部分OPC-UA服务器提供自动信任未知客户端证书的功能，在服务器的配置界面中查找类似Auto Trust Client Certificates或Accept Unknown Certificates的选项，开启后重新发起连接，服务器会自动将你的客户端证书加入信任列表。

内容的提问来源于stack exchange，提问作者Md Shahnewaz