Diagnostic des pannes Ethernet industriel : exploration approfondie de Wireshark pour Modbus TCP et OPC UA dans les réseaux DCS

Q : Pourquoi l’analyse au niveau des paquets est-elle importante dans les réseaux DCS ?

L’Ethernet industriel transporte l’essence même du contrôle des processus. Modbus TCP et OPC UA sont deux des protocoles les plus courants — lorsque la communication échoue, la production s’arrête. Les systèmes DCS Yokogawa CENTUM VP s’appuient sur Vnet/IP pour la messagerie interne, mais de nombreux équipements de terrain utilisent encore Modbus TCP sur le port 502. La carte d’interface Yokogawa VI701 Vnet/IP fournit la connectivité backbone Vnet/IP à haute vitesse pour les nœuds FCS CENTUM VP, tandis que le switch industriel géré Schneider TCSESM083F23F0 offre la capacité de port SPAN nécessaire à la capture de paquets Wireshark sur les réseaux DCS. La passerelle Prosoft PLX32-EIP-MBTCP EtherNet/IP vers Modbus TCP est un pont de protocole courant entre les systèmes DCS EtherNet/IP et les équipements de terrain Modbus TCP — une source fréquente des erreurs de timeout abordées dans ce guide.

Q : Quelle est la structure de trame Modbus TCP que je dois connaître ?

Modbus TCP encapsule les données dans un en-tête MBAP de 7 octets plus la PDU. L’en-tête contient un ID de transaction, un ID de protocole (toujours 0x0000), un champ de longueur et un identifiant d’unité. Une requête normale de lecture FC 03 en hexadécimal : 00 01 00 00 00 06 01 03 00 00 00 0A. Codes fonction courants : 0x03 lit les registres de maintien, 0x06 écrit un registre unique, 0x10 écrit plusieurs registres.

Lorsque l’esclave renvoie une réponse d’exception, le code fonction a le bit 7 activé (par exemple, 0x83 = erreur sur FC 03). Code d’exception 01 = fonction illégale, 02 = adresse de données illégale, 03 = valeur de données illégale. Ces codes sont votre premier indice de diagnostic dans Wireshark.

Q : Comment fonctionne le protocole binaire OPC UA pour l’analyse Wireshark ?

OPC UA utilise par défaut le port 4840. Un client envoie un message Hello, le serveur répond par Acknowledge, puis le client ouvre un canal sécurisé, crée une session et l’active. Dans les environnements Yokogawa, les serveurs OPC UA fonctionnent souvent derrière des pare-feux — vérifiez que le port 4840 est ouvert et accessible. Pour les sessions chiffrées, chargez la clé privée du serveur au format PEM via Édition → Préférences → Protocoles → OPC UA pour permettre le déchiffrement en temps réel des échecs d’authentification et des expirations de session.

Q : Comment configurer le mirroring de port et la capture Wireshark ?

• Étape 1 : Connectez-vous à l’interface CLI ou web de votre switch industriel (Hirschmann, Moxa ou Cisco IE series). Identifiez le port source connecté au PLC ou au contrôleur DCS.
• Étape 2 : Configurez le miroir SPAN : définissez le port source sur le port Ethernet du PLC et le port de destination sur votre ordinateur de diagnostic. Activez le mirroring bidirectionnel du trafic.
• Étape 3 : Ouvrez Wireshark, sélectionnez l’interface miroir et appliquez un filtre de capture : tcp port 502 or tcp port 4840. Lancez la capture.
• Étape 4 : Reproduisez la condition de défaut. Laissez le trafic circuler au moins 30 secondes.
• Étape 5 : Arrêtez la capture et enregistrez-la au format .pcapng. Appliquez des filtres d’affichage : utilisez modbus ou opcua comme filtres de départ, puis tcp.analysis.retransmission pour isoler les anomalies.

Q : Étude de cas — Timeout Modbus TCP sur Yokogawa CENTUM VP ?

Une usine pétrochimique a signalé des pertes intermittentes de données sur les liaisons Modbus TCP. Le DCS CENTUM VP sondait 24 transmetteurs de terrain toutes les 500 ms, avec des pertes occasionnelles de trois ou quatre transmetteurs dans la liste de scan. Après avoir configuré le mirroring de port sur un switch Hirschmann et capturé deux heures de trafic, le filtrage sur tcp.analysis.retransmission et les réponses d’exception Modbus a révélé plusieurs retransmissions TCP vers des adresses esclaves spécifiques.

Cause racine : une passerelle RS-485 vers Ethernet avec un bug firmware laissait tomber des paquets sous forte charge lorsque plus de 16 esclaves répondaient simultanément. Solution : mise à jour du firmware de la passerelle et réduction de la taille du groupe de sondage à 12 appareils par passerelle.

Q : Étude de cas — Échec d’authentification OPC UA sur Schneider Modicon M580 ?

Le client SCADA d’une station de traitement d’eau ne pouvait pas établir de sessions OPC UA après un renouvellement de certificat. Wireshark montrait des réponses OpenSecureChannel avec le code d’état BadCertificateInvalid. Le certificat CA intermédiaire manquait dans le magasin de confiance du client. Après ajout du CA intermédiaire et redémarrage du client OPC UA, les sessions se sont activées avec succès.

Un second problème est apparu : les requêtes OPC UA Publish restaient sans réponse jusqu’à 10 secondes. Le filtrage sur opcua.service == Publish a révélé des notifications TCP zero-window — le CPU du contrôleur Modicon était à 95 % d’utilisation. Le déchargement de la logique vers un contrôleur secondaire a réduit la latence des abonnements sous 200 ms.

Quels sont les conseils clés à retenir ?

• Ne jamais mirrorer le trafic vers un port qui transporte du trafic de production — cela crée une boucle de diffusion.
• Toujours définir un filtre de capture avant de commencer. Les captures non filtrées sur un réseau DCS chargé remplissent un tampon de 1 Go en moins de 60 secondes.
• Utiliser « Follow TCP Stream » pour reconstruire la conversation complète client-serveur.
• Exporter les trames anormales sous forme de dumps hexadécimaux pour le support technique fournisseur. Inclure les horodatages et les informations d’interface.
• Archiver les fichiers .pcapng avec des noms descriptifs (date, modèle de contrôleur, description du défaut) pour l’analyse des tendances.

Auteur : Zhang Minghui est un ingénieur en automatisation industrielle avec plus de 10 ans d’expérience en PLC, DCS et systèmes de contrôle.