WinCC OPC 通信配置指南：DCOM 权限与跨机器对接实战

简介这份文档面向使用西门子 SIMATIC WinCC 的工控工程师与自动化技术人员聚焦 WinCC OPC 服务器与 OPC 客户机之间基于 DCOM 的数据交换配置问题尤其针对登录用户无管理员权限、服务器与客户机使用不同账号登录等需要手动调整 DCOM 的场景。资源包共 1 个 doc 文件约 29KB篇幅精简属于可直接查阅的操作型技术文档。内容围绕 OPC 操作基础与 DCOM 设置修改展开涵盖用户账号的双向创建、dcomcnfg.exe 的调用、OPCServer.WinCC 及 HDA、AE 服务器条目的选择以及自定义访问权限与启动权限的逐项添加并附有安全性与网络技术基础的注意事项。已有 2620 人学习适合需要快速排查 OPC 连接失败、理清权限配置思路的读者对照参考。1. 一份 2007 年的 WinCC OPC 配置文档为什么今天还有人翻出来用产线上跑着 WinCC 的老项目上位机要跟第三方组态软件、MES 采集端或者一台自研的 OPC 客户端对接结果客户端一连接就报0x80070005拒绝访问——这种场景在工控现场一点都不新鲜。翻遍论坛最后指向的往往就是一份流传了十几年的老文档WinCC OPC 服务器配置详细方法。它讲的核心不是 WinCC 组态本身而是 OPC 通信底层依赖的 DCOM 配置尤其是当客户端和服务器不在同一台机器、或者两边登录账号不一致时怎么把 DCOM 的访问权限和启动权限放开。这份资料适合两类人一是手上维护着 WinCC 老版本、需要打通 OPC DA 通道的现场工程师二是刚开始接触工控通信、被 DCOM 权限绕晕的新手。它不厚但把最容易翻车的那几个配置项说清楚了照着做能少走不少弯路。2. DCOM 权限模型OPC 连不上八成卡在这三层2.1 OPC DA 为什么绕不开 DCOMOPC DAData Access规范诞生在 COM/DCOM 时代它的进程间通信完全建立在微软的组件对象模型之上。WinCC 作为 OPC 服务器时会向系统注册一个名为OPCServer.WinCC的 COM 组件客户端通过 DCOM 远程激活这个组件、拿到接口指针然后才能读写标签。这意味着通信能不能建立不取决于 WinCC 项目配得对不对而取决于 Windows 的 DCOM 安全机制放不放行。DCOM 的权限校验分三层任何一层没过都会导致连接失败。第一层是访问权限决定谁可以调用这个组件的方法第二层是启动权限决定谁可以把这个组件进程拉起来第三层是身份标识决定组件以哪个账号的身份运行。老文档里反复强调的“添加管理员、交互式、所有人、网络、系统”就是在配第一层和第二层。很多人只改了访问权限忘了启动权限结果客户端能枚举到服务器但一连接就超时这就是典型的只过了第一层没过第二层。还有一个容易被忽略的点DCOM 的配置是分机器、分组件、分账号的。服务器端要放行客户端的账号客户端也要放行服务器的账号双向都要配。老文档里那句“在 OPC 客户机计算机的用户管理器中创建服务器运行账号反过来在服务器上建立客户机账号”说的就是这个双向信任关系。只配一边通信照样不通。2.2 三种 OPC 服务器条目别选错WinCC 安装后会注册多个 OPC 相关组件不同组件对应不同的数据访问规范选错了条目配了也白配。老文档里明确列了三个组件条目对应规范用途OPCServer.WinCCOPC DA实时数据读写最常用OPCHDAServers.WinCCOPC HDA历史数据访问OPCServerAE.WinCCOPC AE报警与事件现场对接九成以上用的是 DA所以重点配OPCServer.WinCC。但如果你接的是历史数据查询或者报警采集就得去配对应的条目配错了现象是客户端能连上但读不到数据比连不上还难排查。我一般会先在客户端用 OPC 客户端工具枚举一下服务器列表确认目标条目确实出现在列表里再去动 DCOM 配置避免对着一个根本没注册的组件瞎调。2.3 用 dcomcnfg 逐项配访问与启动权限老文档给的是 Windows 2000/XP 的操作路径界面叫“分布式 COM 配置属性”。在 Windows 7 及以上系统里这个工具还在但入口变成了组件服务comexp.msc底层配置项是一致的。下面按现代系统的路径把关键步骤走一遍逻辑和老文档完全对应。先确认组件已注册。在服务器上打开注册表定位到HKEY_CLASSES_ROOT\OPCServer.WinCC能看到 CLSID 子键就说明组件在。然后打开组件服务# 方式一直接运行 dcomcnfg老系统和新系统都能拉起组件服务 dcomcnfg.exe # 方式二运行 mmc 加载组件服务管理单元 comexp.msc -32这里有个坑WinCC 的 OPC 组件多数是 32 位的在 64 位系统上必须用comexp.msc -32打开 32 位组件服务否则在“DCOM 配置”节点下根本看不到OPCServer.WinCC。我第一次在 64 位系统上配的时候就是这个问题翻了半天以为组件没注册其实是看错了节点。打开后依次展开“组件服务 → 计算机 → 我的电脑 → DCOM 配置”在列表里找到OPCServer.WinCC右键属性。在“安全”选项卡里把“启动和激活权限”和“访问权限”都选为“自定义”然后点编辑。启动权限里添加Everyone和NETWORK给“本地启动”和“远程启动”允许访问权限里添加ANONYMOUS LOGON、Everyone、NETWORK、SYSTEM给“本地访问”和“远程访问”允许。老文档里写的“所有人”“网络”“系统”就是这几个内置组只是中文系统翻译不同。配完安全选项卡还要去“标识”选项卡确认运行身份。默认是“启动用户”如果服务器和客户端账号不一致建议改成“此用户”并指定一个两边都存在的本地账号密码保持一致。这一步是很多“配了权限还是连不上”的根因——组件以启动者身份运行而启动者账号在客户端那台机器上不存在DCOM 校验直接失败。最后在“常规”选项卡确认身份验证级别为“无”或“连接时”默认的“数据包完整性”在某些老客户端上会协商失败。改完这些重启一次服务器上的 WinCC 运行系统和 DCOM 服务net stop DcomLaunch net start DcomLaunch或者直接重启机器更稳妥让配置生效。3. 跨机器对接账号、防火墙与本地安全策略的联动3.1 双向账号必须同名同密DCOM 的远程激活依赖 Windows 的账号认证服务器和客户端之间不存在“匿名信任”这回事。老文档开篇就点明两种必须改配置的情况客户端或服务器登录用户没有管理员权限以及两边用不同账号登录。实操中最稳的做法是在两台机器上各建一个同名同密的本地账号比如都叫opcuser密码完全一致然后把这个账号同时加入两边的“管理员”组和“分布式 COM 用户”组。为什么强调同名同密因为 DCOM 在远程激活时服务器会用客户端提供的凭据去本地 SAM 里比对账号名或密码任何一边对不上激活就返回拒绝访问。有人图省事在客户端用当前登录账号、服务器用另一个账号然后在 DCOM 标识里指定“交互式用户”这种配法在单机测试能通一到跨机器就翻车血泪经验就是别在这种地方省步骤。账号建好后还要确认两边的本地安全策略没有把网络访问卡死。运行secpol.msc在“本地策略 → 用户权利分配”里检查“从网络访问此计算机”是否包含Everyone和NETWORK以及“拒绝从网络访问这台计算机”里有没有误加账号。有些加固过的系统默认把Guest和匿名访问全禁了DCOM 的某些协商阶段会用到匿名令牌禁得太死会导致枚举得到、连接不上。3.2 防火墙放行 DCOM 的端口范围DCOM 不像 HTTP 走固定端口它先用 135 端口做 RPC 端点映射然后动态协商一个高位端口做实际通信。只放行 135 是不够的实际数据通道会被防火墙拦掉。现场常见的做法有两种一是把 DCOM 的动态端口范围限制在一个固定区间然后在防火墙上放行这个区间二是直接在工控内网里对受信任子网放行。限制端口范围需要改注册表。在服务器上新建一个.reg文件导入Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\Software\Microsoft\Rpc\Internet] Portshex(7):31,00,30,00,32,00,34,00,2d,00,31,00,30,00,32,00,34,00,00,00,00,00 [HKEY_LOCAL_MACHINE\Software\Microsoft\Rpc\Internet] PortsInternetAvailableY UseInternetPortsY这段注册表把 RPC 动态端口限制在 1024 到 1024 这个单端口上十六进制值对应字符串1024-1024实际部署时建议改成一段区间比如5000-5100给并发连接留余量。改完重启 RPC 服务然后在防火墙入站规则里放行 TCP 135 和这段区间。注意这个注册表项在 64 位系统上要写到Wow6432Node下对应的路径否则 32 位 OPC 组件读不到。防火墙配完用telnet 服务器IP 135从客户端测一下连通性通了再往下走。这一步看着简单但现场很多“DCOM 配了没用”的案例最后查出来是防火墙把动态端口挡了客户端在 RPC 端点映射阶段就超时报错信息还特别含糊。3.3 用 OPC 客户端做最小化连通验证配置改完别急着上正式系统先用一个轻量 OPC 客户端验证。常见的做法是用 Matrikon OPC Explorer 或者免费的 OPC Quick Client在客户端机器上枚举远程服务器。枚举能看到OPCServer.WinCC说明 RPC 端点映射和组件注册没问题能连上并浏览到标签树说明访问权限和启动权限都过了能读到实时值才算整条链路打通。验证时按这个顺序排查能快速定位卡在哪一层1. 枚举不到服务器 - 查 135 端口、RPC 服务、组件是否注册 2. 枚举到但连接超时 - 查启动权限、DCOM 标识、防火墙动态端口 3. 连上但读标签报错 - 查访问权限、WinCC 运行系统是否启动、标签名是否正确 4. 读得到但值不刷新 - 查 WinCC 变量归档周期、OPC 服务器的更新速率设置我一般会在服务器本地先用客户端连一次localhost本地能通再测远程。本地都不通说明 DCOM 配置本身有问题跟网络无关这时候去查防火墙就是浪费时间。本地通了远程不通才把排查重心放到账号、防火墙和网络策略上。4. 避坑排查五条现场踩出来的记录4.1 现象客户端报 0x80070005 拒绝访问原因这是 DCOM 权限不足最典型的报错多数情况是只配了访问权限没配启动权限或者组件标识指定的账号在客户端不存在。也有一种情况是服务器上的“分布式 COM 用户”组没有包含客户端账号导致远程激活被拒。解决回到组件服务把OPCServer.WinCC的启动和激活权限、访问权限都改成自定义并显式添加Everyone、NETWORK、ANONYMOUS LOGON标识选项卡改成“此用户”并指定两边同名的账号确认该账号在“分布式 COM 用户”组里。改完重启 DCOM 服务再测。4.2 现象64 位系统上 DCOM 配置列表里找不到 OPCServer.WinCC原因WinCC 的 OPC 组件是 32 位的在 64 位系统上默认打开的组件服务管理单元是 64 位视图看不到 32 位组件的注册信息。解决用comexp.msc -32打开 32 位组件服务或者在运行对话框里执行mmc comexp.msc /32。确认能看到组件后后续所有 DCOM 配置都在这个 32 位视图里做别在两个视图之间来回切容易配串。4.3 现象本地能连远程枚举得到但一连接就超时原因RPC 端点映射135 端口通了但 DCOM 协商的动态高位端口被防火墙拦截实际数据通道建立不起来。这种情况报错往往不是拒绝访问而是超时或“服务器不可用”。解决按 3.2 节的方法限制 RPC 动态端口范围并在防火墙放行或者临时关闭防火墙做对照测试确认是端口问题。确认后把端口区间固化到部署文档里别每次上线都重新猜。4.4 现象连接成功但读不到任何标签浏览树是空的原因DCOM 层已经通了问题出在 WinCC 侧。常见的是 WinCC 运行系统没启动、OPC 服务器组件没随项目激活或者客户端连的是 HDA/AE 条目却按 DA 的方式读数据。解决先在服务器上确认 WinCC 运行系统处于激活状态变量管理里能看到实时刷新的值再确认客户端连接的 ProgID 是OPCServer.WinCC而不是 HDA 或 AE 条目最后检查 WinCC 用户管理里给 OPC 访问分配的权限是否包含该账号。4.5 现象跑一段时间后突然断连重启客户端又恢复原因DCOM 的连接有超时和回收机制长时间空闲或网络抖动后连接被回收也可能是服务器上账号密码策略变更导致凭据失效。老系统上还常见于 RPC 动态端口被其他服务占用后重新分配客户端缓存的端点信息过期。解决在客户端侧加心跳读取定期读一个固定标签保持连接活跃检查服务器账号密码是否设置了过期策略工控账号一般设为密码永不过期如果频繁断连考虑把 DCOM 端口范围固定下来减少端口漂移。这类问题没有一劳永逸的配置只能靠监控和心跳兜底。5. 把配置固化成可复现的检查清单老文档只有三页讲的是 Windows 2000/XP 时代的操作路径但 DCOM 的权限模型十几年没变过今天在 Windows 7、Windows 10 甚至部分 Server 版本上照样适用变的只是入口界面和 32/64 位视图的区分。真正让这份资料有价值的不是它列了多少步骤而是它点明了“什么时候必须改 DCOM 设置”这个判断条件——账号不一致、权限不足这两个触发条件至今仍是 OPC 连不上的主因。我在多个现场落地后习惯把配置过程整理成一张检查表每次新环境部署照着过一遍比凭记忆点鼠标靠谱得多检查项服务器侧客户端侧验证方式同名同密账号建opcuser并入管理员组建同名账号同密码net user opcuser核对组件注册注册表有OPCServer.WinCC无需操作注册表编辑器查看DCOM 访问权限加 Everyone/NETWORK/SYSTEM无需操作组件服务 32 位视图DCOM 启动权限加 Everyone/NETWORK无需操作同上组件标识指定opcuser无需操作标识选项卡RPC 端口限制区间并放行无需操作telnet IP 135本地安全策略允许网络访问允许网络访问secpol.msc连通验证本地客户端先连 localhost远程枚举再读值OPC 客户端工具这张表里最容易被跳过的是“本地先连 localhost”这一步。很多人一上来就从客户端远程测失败了分不清是 DCOM 问题还是网络问题来回折腾。先把本地回路打通等于把变量隔离掉一半剩下的问题范围就小多了。还有一个习惯值得养成每次改完 DCOM 配置导出一次组件服务的配置备份或者至少把改动的注册表项和权限项记到部署文档里。工控现场的系统往往一跑好几年中间换人维护是常态没有配置记录下次出问题又得从头摸一遍。从那以后我每次配完 OPC 通道都会把账号、端口区间、DCOM 权限项和验证结果写进一页纸的交接说明里强制走一遍本地到远程的验证流程再交给现场。希望帮到你。本文还有配套的精品资源点击获取