使用pymodbus实现Modbus TLS加密通信：从证书生成到生产部署

最新推荐文章于 2026-08-23 14:35:34 发布

原创

最新推荐文章于 2026-08-23 14:35:34 发布 · 530 阅读

1. 项目概述：为什么Modbus也需要TLS？

在工业自动化、楼宇自控或者能源监控领域，Modbus协议因其简单、开放、易于实现的特点，至今仍是连接PLC、传感器、电表等现场设备的主流通信协议之一。然而，经典的Modbus TCP协议在设计之初并未考虑安全性，其通信过程是明文的。这意味着，任何能够接入网络的人，都可以轻易地截获、篡改甚至伪造控制指令和采集数据。想象一下，如果工厂的生产线控制指令被恶意修改，或者智能电表的读数被伪造，后果将不堪设想。

因此，为Modbus TCP通信披上“加密铠甲”变得至关重要。TLS（传输层安全协议）正是这层铠甲的核心。它通过在TCP连接之上建立一个加密通道，确保数据在传输过程中的 机密性 （防止窃听）、 完整性 （防止篡改）和 身份验证 （防止伪装）。 pymodbus 作为Python生态中功能强大且活跃的Modbus库，从2.5.0版本开始正式支持TLS，为我们实现安全的Modbus通信提供了可能。

本指南将手把手带你完成使用 pymodbus 配置TLS加密传输的全过程。无论你是工控系统的开发者、运维工程师，还是物联网平台的安全研究员，都能从中获得一套可直接部署的、生产可用的安全通信方案。我们将从最基础的证书准备开始，逐步深入到服务端与客户端的配置、连接测试，并分享在实际部署中踩过的坑和积累的经验。

2. 核心概念与准备工作

在动手写代码之前，我们必须先理解几个核心概念，并准备好必要的“原材料”。跳过这一步，后续的配置就像在沙滩上盖楼，注定会出问题。

2.1 TLS在Modbus通信中的角色

你可以把Modbus TCP通信想象成两个人在一个嘈杂的广场上用普通话大声交谈（明文传输）。TLS的作用，就是为他们搭建一个隔音的私人电话亭（加密通道）。电话亭本身由坚固的材料（TLS协议）构成，并且双方在通话前需要先核对一下暗号（证书验证），确认对方是可信的人。

在 pymodbus 的语境下：

服务端 ：通常是PLC、RTU或网关设备，它需要持有自己的 服务器证书 和对应的私钥，用来向客户端证明“我是我”。
客户端 ：通常是SCADA系统、数据采集服务器或监控平台。它需要持有 CA（证书颁发机构）的根证书 ，用来验证服务端证书是否可信。在双向认证（mTLS）的场景下，客户端也需要自己的证书和私钥。
通信流程 ：客户端发起连接时，会与服务端进行TLS握手。服务端出示证书，客户端用CA根证书验证它。验证通过后，双方协商出一个临时的会话密钥，后续所有的Modbus协议数据包（如读保持寄存器0x03，写线圈0x05）都将使用这个密钥加密传输。

2.2 证书准备：自签名 vs 商业CA

证书是TLS的信任基石。对于工业内网或测试环境，使用自签名证书是最高效、成本最低的选择。对于需要对外提供服务的场景，则应考虑使用受信任的商业CA（如Let‘s Encrypt）颁发的证书。

这里我们以最常见的自签名证书为例，演示如何使用OpenSSL工具链生成全套证书文件。请确保你的系统已安装OpenSSL。

第一步：生成私钥和自签名CA证书 我们首先扮演“证书颁发机构”的角色。

# 生成CA的私钥（-nodes表示私钥不加密，方便测试，生产环境应设置密码）
openssl genrsa -out ca.key 2048

# 使用CA私钥生成自签名的CA根证书（有效期为3650天）
openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 -out ca.crt -subj "/C=CN/ST=Zhejiang/L=Hangzhou/O=MyIndustrialCompany/CN=My Industrial CA"

现在你得到了 ca.key （CA私钥）和 ca.crt （CA根证书）。 ca.crt 需要分发给所有客户端。

第二步：生成服务器证书 接下来，为我们的Modbus TLS服务端生成证书。

# 1. 生成服务器私钥
openssl genrsa -out server.key 2048

# 2. 创建证书签名请求（CSR）
openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=Zhejiang/L=Hangzhou/O=MyPlant/CN=plc01.plant.local"

# 3. 使用CA证书和私钥为CSR签名，生成服务器证书
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365 -sha256

关键点在于 CN （Common Name）字段。在早期的TLS验证中，客户端会检查服务端证书的 CN 是否与连接的主机名（或IP）一致。现代实践更推荐使用 主题备用名称（SAN） 。为了更严谨，我们创建一个包含SAN的配置文件 server.ext ：

authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = plc01.plant.local
IP.1 = 192.168.1.100

然后使用这个扩展文件重新生成证书：

openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365 -sha256 -extfile server.ext

现在你得到了 server.key （服务器私钥）和 server.crt （服务器证书）。 server.crt 和 ca.crt 需要部署在服务端。

第三步：（可选）生成客户端证书（用于双向认证mTLS） 如果安全级别要求极高，需要客户端也向服务端证明身份，则需生成客户端证书。

# 生成客户端私钥和CSR
openssl genrsa -out client.key 2048
openssl req -new -key client.key -out client.csr -subj "/C=CN/ST=Zhejiang/L=Hangzhou/O=MySCADA/CN=scada-client-01"

# 使用CA签名，生成客户端证书
op

标签