Kepware

Wat is Kepware?

Kepware is het connectiviteitsplatform van PTC dat met meer dan 150 communicatiedrivers data uit PLC’s, controllers en andere industriële apparaten ophaalt en die als één uniforme bron aanbiedt aan SCADA, MES, historians en cloudtoepassingen via onder meer OPC UA, OPC DA en MQTT. Het bekendste product is de Windows-server KEPServerEX, sinds versie 7.0 (november 2025) Kepware Server genoemd. In veel fabrieken is Kepware de vertaallaag tussen de wirwar aan merkspecifieke veldprotocollen en de IT-applicaties die die data willen gebruiken.

🧠 Wat doet Kepware precies?

Kepware lost een oud probleem op: elke PLC-fabrikant spreekt zijn eigen protocol, terwijl afnemende software liever één standaardinterface heeft. Kepware doet daarvoor vier dingen:

• Protocolvertaling — drivers voor onder meer Siemens S7, Allen-Bradley EtherNet/IP, Modbus TCP, Mitsubishi, Omron, DNP3 en IEC 61850 lezen de apparaten uit
• Eén datamodel — alle waarden worden tags in een uniforme boomstructuur, ongeacht het bronprotocol
• Standaardinterfaces naar boven — OPC UA, OPC DA (Classic), MQTT, REST en ThingWorx stellen dezelfde tags beschikbaar aan meerdere afnemers tegelijk
• Ontlasting van de PLC — tien clients die dezelfde waarde willen, leiden tot één poll richting de besturing in plaats van tien

🕰️ Hoe is Kepware ontstaan?

De OEM-varianten draaien op dezelfde kern: KEPServer Enterprise wordt geleverd door Rockwell Automation (vaak naast FactoryTalk), Industrial Gateway Server door GE Digital en TOP Server door Software Toolbox. Kwetsbaarheden in Kepware gelden daarom vaak ook voor deze producten.

🔧 Hoe is Kepware opgebouwd?

De configuratie volgt altijd dezelfde drie niveaus:

• Channel — één driver met de communicatie-instellingen, bijvoorbeeld een netwerkkaart of seriële poort
• Device — één fysieke besturing binnen dat kanaal, met IP-adres, model en timeouts
• Tag — één datapunt (adres, datatype, scanrate), eventueel gegroepeerd in tag groups

Daarbovenop zitten plug-ins: IoT Gateway (MQTT, REST client en server, ThingWorx), DataLogger (wegschrijven naar SQL-databases), Advanced Tags (berekende tags), Security Policies en redundantie. De server draait als Windows-service; beheer gebeurt via de Configuration-client of de REST-gebaseerde Configuration API, standaard op poort 57412. De OPC UA-server luistert standaard op poort 49320.

🔄 Hoe verhoudt Kepware zich tot alternatieven?

In moderne architecturen is Kepware zelden de eindbestemming: het levert de ruwe tags, terwijl een DataOps-laag die modelleert en publiceert naar een Unified Namespace.

💶 Hoe werkt de licentie van Kepware?

Kepware wordt per driver of per driver suite gelicentieerd, bijvoorbeeld de Siemens Suite, Allen-Bradley Suite, Modbus Suite, Manufacturing Suite (100+ drivers) of Advanced Manufacturing Suite (alle drivers). Plug-ins als IoT Gateway en DataLogger worden apart afgerekend. Naast eeuwigdurende licenties met jaarlijks onderhoud biedt PTC het abonnement Kepware+, dat toegang geeft tot alle drivers. Zonder licentie draait de software in een demomodus die na twee uur stopt; handig om te testen, maar fataal als iemand vergeet te activeren op een productieserver.

🏗️ Waar plaatst u Kepware in het Purdue-model?

Kepware hoort typisch op niveau 2 of 3 van het Purdue Model: dicht genoeg bij de besturingen om ze te pollen, maar onder de IT-grens. Een veelgebruikt patroon is een Kepware-server in het OT-netwerk die PLC’s uitleest en een tweede instantie of een OPC UA-/MQTT-verbinding naar een DMZ, waar historian-replica’s en cloudconnectoren staan. Laat IT-systemen nooit rechtstreeks via de OT-firewall naar de Kepware-server in de productiezone verbinden.

🔐 Hoe beveiligt u Kepware?

Kepware is een aantrekkelijk doelwit: één server met leestoegang, en vaak schrijftoegang, tot alle PLC’s van een fabriek. Er zijn meerdere ernstige kwetsbaarheden gepubliceerd, waarvan enkele kritiek:

Belangrijke hardeningsmaatregelen:

• Alleen versleutelde OPC UA-endpoints — schakel security policy None uit en gebruik Basic256Sha256 of nieuwer met Sign & Encrypt
• Geen anonieme toegang — gebruikersbeheer met sterke wachtwoorden en per gebruikersgroep lees- of schrijfrechten, eventueel per tag via de Security Policies-plug-in
• Certificaten beheren — vertrouw alleen bekende clientcertificaten; na een upgrade naar 7.0 (2048-bit-certificaten) moeten clients opnieuw vertrouwd worden
• Ongebruikte interfaces uit — OPC DA met DCOM, REST-server en Configuration API alleen inschakelen als ze nodig zijn
• Patchen en isoleren — volg PTC- en CISA-advisories en stel de server nooit bloot aan internet

🛠️ Hoe koppelt u een Siemens S7 via Kepware aan OPC UA?

Een veelvoorkomend scenario: een S7-1500 uitlezen voor een historian die OPC UA spreekt.

1. Kies de driver — de Siemens TCP/IP Ethernet-driver werkt met absolute adressen; voor symbolische toegang tot S7-1200/1500 is de Siemens S7 Plus Ethernet-driver nodig
2. Bereid de PLC voor in TIA Portal — vink voor de klassieke driver Permit access with PUT/GET communication aan en zet Optimized block access uit op de betreffende datablokken; laad de configuratie in de PLC
3. Maak een channel — kies de driver en de netwerkkaart richting het machinenetwerk
4. Voeg een device toe — kies model S7-1500, vul IP-adres, rack 0 en slot 1 in en stel een redelijke timeout in (bijvoorbeeld 1.000 ms)
5. Maak tags aan — bijvoorbeeld DB10.DBD0 als Float met scanrate 1.000 ms; gebruik geen 100 ms voor alles, dat belast de PLC onnodig
6. Configureer het OPC UA-endpoint — poort 49320, alleen Basic256Sha256 Sign & Encrypt, anonieme login uit
7. Test met een OPC UA-client — vertrouw het clientcertificaat in de OPC UA Configuration Manager en controleer of de tagkwaliteit Good is

❓ Veelgestelde vragen

Is Kepware gratis?

Nee, Kepware is commerciële software van PTC die per driver, driver suite of via een Kepware+-abonnement wordt gelicentieerd. Zonder licentie draait Kepware in een demomodus die na twee uur stopt en opnieuw gestart moet worden. Die modus is geschikt voor testen, niet voor productie.

Wat is het verschil tussen KEPServerEX en Kepware Server?

KEPServerEX en Kepware Server zijn hetzelfde product onder een andere naam. Met versie 7.0 in november 2025 voegde PTC KEPServerEX en ThingWorx Kepware Server samen tot één product, Kepware Server. Configuraties uit versie 6 kunnen worden gemigreerd.

Draait Kepware op Linux?

De klassieke Kepware Server is Windows-software en draait op Windows 10/11 en Windows Server. Voor Linux biedt PTC Kepware Edge, dat in containers draait en bedoeld is voor grootschalige edge-uitrol. Niet alle drivers zijn in Kepware Edge beschikbaar.

Wat is de standaardpoort van de Kepware OPC UA-server?

De OPC UA-server van Kepware luistert standaard op TCP-poort 49320, met een endpoint-URL als opc.tcp://<server>:49320. Die poort is in de configuratie aan te passen. Beperk toegang tot deze poort in de firewall tot de clients die Kepware echt nodig hebben.

Kan Kepware data naar MQTT of de cloud sturen?

Ja, Kepware kan via de IoT Gateway-plug-in tags publiceren naar een MQTT-broker en data uitwisselen via REST. Zo voedt Kepware cloudplatforms, een Unified Namespace of DataOps-software zonder dat die zelf PLC-protocollen hoeven te spreken. Gebruik daarbij TLS en authenticatie richting de broker.

Is Kepware nog nodig als PLC’s zelf OPC UA ondersteunen?

Kepware blijft vaak nuttig, ook als moderne PLC’s een eigen OPC UA-server hebben. Oudere besturingen spreken alleen hun eigen protocol, en een centrale Kepware-server beperkt het aantal verbindingen per PLC. Bij een volledig nieuwe installatie met alleen OPC UA-capabele besturingen kan Kepware wel overbodig zijn.

📌 Samengevat

Kepware is de universele vertaallaag tussen industriële besturingen en IT-toepassingen: meer dan 150 drivers aan de onderkant, OPC UA, MQTT en REST aan de bovenkant. Door die centrale positie is Kepware ook een kroonjuweel voor aanvallers; plaats het goed in het Purdue-model, schakel alleen versleutelde endpoints in en houd de versie actueel.