如何进行OPC_DCOM配置.doc

如何进行OPC DCOM配置作者： 激情如火 ，2005-8-5 14:43:00 发表于：OPC论坛 共有1人回复，60次点击 加为好友发送留言 OPC DCOM Howto 本文档根据各种不同的情况，讲述如何进行OPC DCOM配置。 对于远程访问OPC服务器，需要在客户和服务器计算机上都进行DCOM设置，以前我们采用的方式是： 客户、服务器都建立一个名字、密码相同的具有管理员权限的帐号，并分别以次登录，在服务器端将OPC服务器的启动方式设为交互式用户。这种方法虽然方便，但安全性较差，不利于在实际应用中推广。这里提供一些较合理的解决方案。（假定都是在工作组里） （1） 序言 在使用了OPC技术，并有网络数据访问的应用系统中，不可避免地要进行OPC DCOM权限配置。 DCOM配置与windows操作系统的安全体系结合在一起，而各版本的操作系统（9x、NT、2000、XP等）的安全体现又或多或少地有所区别；同时，OPC服务器运行的方式也不尽相同（进程内、进程外、系统服务、有无界面）；而且，不同的应用系统对安全的要求也不同。总之，要想根据具体情况尽量合理地完成OPC DCOM配置并不是一件很轻松的事。 本文档根据各种不同的情况，讲述如何进行OPC DCOM配置。 （2） 准备 要进行DCOM安全配置，操作者通常必须拥有客户和服务器计算机的管理员权限。 【注意】一般情况下，DCOM通信是基于TCP/UDP的，所使用的端口不固定，很可能被一些防火墙软件屏蔽。如果本文下述配置不成功的话，请尝试关闭客户和服务器计算机上的防火墙，或者以带网络连接的安全模式启动系统（这时防火墙软件一般不被自动运行）。 （3） 最简单的情况 如果用户对网络安全基本上没有要求，或者处于客户、服务器程序开发阶段，. （4） 服务器计算机始终有用户登录的情况（NT/2000） 这也是实际应用中比较常见的情况，但对于以NT服务方式运行的OPC服务器不适合。设置方法如下： 在服务器计算机上建立一个用户，如OPCUser，可以是管理员，也可以是一般用户，服务器计算机在运行OPC服务器时必须以这个用户登录。 在服务器计算机上建立一个用户组，如OPCClients。 （单一客户情况下可以不建立，建这个组的目的是管理方便） 在各个OPC客户计算机中，分别建立OPCUser用户，口令也要与服务器上的一致，可以设为普通用户以保证安全。 客户计算机运行时不必以OPCUser登录，比如使用ClientA登录，就要在服务器上建立相同的用户ClientA及相同的密码。并在服务器计算机上将ClientA加入到OPCClients组中。ClientA在客户和服务器计算机上都可以是普通用户。 服务器端DCOM配置 运行dcomcnfg，进行如下设置： 默认属性： 启用DCOM； 默认身份验证级别：连接 默认模拟级别：标识 默认安全机制： 默认访问权限： 至少要保证OPCClients组允许访问，也可放宽至Everyone； 默认启动权限：至少保证允许INTERACTIVE用户调用； 默认配置权限：一般情况下不需修改。 默认协议：保证面向连接的TCP/IP在最上，其它可以删除。 具体的服务器配置： 常规：身份验证级别为默认值； 位置：在这台计算机上运行； 安全性：使用默认的访问和启动权限，配置权限不要修改； 身份标识：交互式用户。 终结点：不修改。 OPCEnum程序配置： 在dcomcnfg程序的应用程序列表里找到opcenum.exe，对其按照上面具体服务器的配置进行设置。 客户计算机的配置： 为了保证OPC数据订阅等回调机制能正常运行，需要对客户计算机的DCOM权限进行配置。 默认属性、默认协议的配置和服务器端基本一致； 默认安全机制只需要修改默认访问权限。保证允许OPCUser访问。也可放宽至Everyone。 【注意】 在服务器没有用户登录的情况下，远程将无法启动OPC服务器； 对于有用户界面，并需要界面交互的OPC服务器，建议（可能必须）采用这种方式。 （5） OPC服务器为后台程序的情况（NT/2000） 这种情况下，服务器计算机可以没有用户登录。 做为后台程序，OPC服务器有两种运行方式：系统服务（service）方式和普通用户程序。 这里只介绍普通程序方式，系统服务方式的配置说明以后添加。 OPC服务器做为普通方式运行的后台程序，一般没有用户界面。完全可以按照（1）中有界面的方式进行配置，即设置为交互式用户启动。 但是（1）的配置方式限定了服务器计算机必须有用户登录，而且登录用户必须在客户计算机上有DCOM访问权限。所以，无界面的后台OPC服务器可以用另一种更灵活的方式运行。 配置方法：（未明确说明的部分与（1）相同） 在服务器端按照（1）中所述建立一个OPCUser用户，专门用来运行OPC服务器。然后在OPC服务器属性配置中，将启动方式改为指定用户，注意要输入用户密码。 这样，OPC服务器计算机可以用任意用户登录，当客户计算机发出连接请求时，系统负责以OPCUser的身份运行OPC服务器，如果已经运行则使用已有的OPC服务器。 【注意】还有一种启动方式，是“启动”用户。即系统以发连接请求的用户的身份启动OPC服务器，这可能造成服务器计算机上同时运行多个OPC服务器的实例，显然不妥。所以一般情况下不建议设置为“启动”用户，虽然它是缺省选项。 （6） Windows XP系统下的配置说明 在XP操作系统（SP1，不包括SP2及其以后版本）下，OPC的配置实际上和NT/2000基本一样，这体现在OPC DCOM相关的各项配置在注册表中的位置、名称都是一致的。 二者只是配置界面不同 本文由“剑飞 ”提供，中国工控网整理。经验一:客户端连接目标机器的OPC服务器时，客户端(FactorySoft OPC Client)提示：EnumClassesOfCategories failed:拒绝访问解决办法：在用户权限(OPCServer计算机)上，找到 控制面板管理工具本地安全策略安全选项网络访问：本地账户的共享和安全模式 改为：经典-本地用户以自己的身份验证 或者：确保双击我的电脑工具菜单文件夹选项查看标签下面的使用简单文件共享(推荐)不要打经验二:连接YOKOGAWA的CS3000或其它型号的OPCServer时，尽最大可能在OPCClient机器安装由OPCServer For CS3000机器上，生成的一个客户端CENTUM用户安装盘；OPCServer For CS3000机器操作步骤简述：(1)将一个格式化过的软盘插入OPCServer For CS3000的计算机中(2)运行CS3000/CS1000ProgramBKHCOPYOPC.exe(3)按“OK”键，开始生成一个客户端CENTUM用户安装盘备注：安装后的CENTUM用户在控制面板用户账户是看不到的，你可以在右击我的电脑管理本地用户和组用户这时你就可以看到CENTUM用户了，但这个用户，界面显示不隶属于任何账户另外，安装后的CENTUM用户密码也是：CENTUM，请你不要随意改变。再另外，产生的这个OPCClient端CENTUM用户安装盘，包括一个INSTALL文件夹和一个SETUP.EXE文件，必须将这两个文件放置于盘符的根目录下，如C:或D:或A:经验三:必须严格确信OPCClient端和OPCServer端使用了一模一样的Adminstrator用户和密码经验四:OPC客户端Guest用户不要启用在WINDOWS XP SP2系统中使用OPC的DCOM配置方法2007年04月15日 星期日 13:21在WINDOWS XP SP2系统中使用OPC的DCOM配置方法 V1.0（Using OPC via DCOM with XP SP2）大多数OPC Clients和OPC Servers利用DCOM通过网络进行通信在XP SP2中，经由DCOM的OPC通信是默认关闭的，本文讨论了当使用XP SP2时重建OPC通信的必要设置方法由于OPC使用的回调方法使得OPC Client转变为DCOM server同时使OPC Server转变为一个DCOM client，所以本文中提供的配置方法应在包含有OPC Server和OPC Client的客户端节点上分别进行设置配置WINDOWS 防火墙WINDOWS防火墙是基于例外的，也就是默认情况下，防火墙将阻止外部未被请求的连接通过网络，而管理员可以在规则之外设置特定的应用程序或端口来响应外部未被请求的连接防火墙的例外可被归入两种层次的情况，一是应用程序层次，二是端口与协议层次前者可设置特定的程序来对未被请求的连接进行响应，后者可设置特定的TCP或UDP端口来允许相应的通信为了使OPC程序可以通过DCOM正常工作，必须在这两个层次上都进行设置防火墙的配置过程如下：1.为了给系统提供必须的保护，WINDOWS防火墙是默认启用的（个人）不推荐关闭WINDOWS防火墙，若通信连接失败，在调试过程中可以暂时关闭防火墙以确实问题是否是由防火墙所引起如若确定永久关闭防火墙，下面所述关于防火墙的设置均可忽略2.进入WINDOWS控制面板，双击WINDOWS防火墙图标，打开WINDOWS防火墙设置对话框，选中例外选项卡，把相应OPC Client和Server程序添加进例外列表同时添加Microsoft Management Console (mmc.exe 在WindowsSystem32目录下)和OPC 应用程序OPCEnum (opcenum.exe 在WindowsSystem32 目录下)到例外列表中最后确保文件和打印机共享也被选中在例外列表中（注：只有EXE程序可以被添加到例外列表中，对于DLL和OCX等类型的OPC Server 和OPC Client ，必须添加调用它们的EXE程序；本步设置可能要用到添加程序和浏览按钮）3.添加TCP 135端口建立DCOM通信和对外来请求进行响应需要用到TCP 135端口在WINDOWS防火墙例外选项卡中，点击添加端口按钮在添加端口对话框中进行设置，如下图所示DCOM 配置WINDWOS XP SP2在DCOM安全方面进行了一些增强在XP SP2中，若要通过网络使用OPC，应该注意到以下两个方面的问题：一是用户可以通过激活和访问权限对话框对使用DCOM的应用程序的限制权限进行配置；二是在激活和访问权限中定义的每个用户，其本地和远程访问权限可以进行分别配置关于激活和访问权限：启动权限定义了谁可以本地或远程激活（或启动）基于COM的应用程序（比如OPC Server程序）；访问权限定义了谁可以对已经启动起来的程序进行访问默认情况下，WINDOWS XP SP2不允许经由网络的OPC通信为了使基于DCOM的OPC应用程序可以通过网络工作，用户应该被给予OPC Server和OPC Client的远程激活和访问权限WINDOWS XP SP2下DCOM的配置过程如下：1.点击开始-运行输入DCOMCnfg，回车，打开组件服务窗口2.双击控制台根目录下的组件服务展开组件服务文件夹，同样方式，展开计算机文件夹，右键点击右侧窗口的我的电脑图标，点击属性，打开属性对话框3.选中COM 安全选项卡，注意这里有4个按钮可供点击进入配置4.配置访问和启动激活权限4.1访问权限-编辑限制(L)设置ANONYMOUS LOGON的本地访问及远程访问权限为允许（此设置与OPCEnum.exe发挥作用有关，对于某些设置了 验证等级为无以允许匿名连接的OPC Servert和OPC Client，此设置也是必须的）4.2启动和激活权限-编辑限制(I)设置Everyone的远程启动和远程激活权限为允许（注：为了安全，可建立专用于OPC通信的用户组，进行权限赋予）4.3设置默认访问和启动激活权限对于每个参与OPC通信的用户或组，均应赋予其本地和远程访问以及启动激活权限若相应用户或组没有出现，则应手动添加，然后赋予权限访问权限-编辑默认值(E)启动和激活权限-编辑默认值(D)5.完成以上设置后，重新启动计算机声明：基于对参考文献内容的理解进行解释与翻译，然后在局域网2台机器上验证通过（服务嚣：KEPware Enchanced OPC/DDE Server V4.200.353-U，客户端：KEPWare OPC Quick Client V4.70.95-U），从而形成本文由于知识有限，错误在所难免作者不保证文中所述内容的精度与准确性，仅供参考欢迎提出问题建议，以便下版进行修改完善（2007-4-14 LeeKin YAHOO.COM.CN）Windows xp sp2-windows xp sp2（用kepware的OPC Quick Client测试通过）1， 防火墙配置（建议配置时先关闭防火墙，配置成功后再进行防火墙设置）系统防火墙：路径：“控制面板”“安全中心”“Windows 防火墙”，配置如下：例外：添加程序：将所有的OPC Client和Servers，以及Microsoft Management Console（即mmc.exe，它位于WindowsSystem32目录下）和OpcEnum应用（opcenum.exe位于WindowsSystem32目录下）添加到例外列表。 添加端口： 名称：DCOM 端口号：135 选择TCP其它防火墙：（配置情况未知，建议关闭，）2， Dcom配置（配置DCOM前须验证网上邻居是否可用，本次测试中两个计算机处于同一工作组，从工作组中可以实现计算机互访）运行Dcomcnfg，打开“组件服务”“计算机”“我的电脑”，点右键打开属性：常规 ，选项 和MSDTC这三项不做修改默认属性：勾选“在此计算机上启用分布式DCOM”，默认身份验证级别选“连接”，默认模拟级别选“标识”。 默认协议：“面向连接的TCP/IP”，“面向连接的spx”。（此项一般不用修改，本次测试连接成功后存在如下两项DCOM协议，其中TCP/IP协议在上面） COM安全：访问权限 框：点击编辑限制 按钮组或用户名称中存在A