Ubuntu下MQTT部署及TLS配置

安装命令

sudo apt-get update 
sudo apt install mosquitto mosquitto-clients

配置账号密码

sudo mosquitto_passwd -c /etc/mosquitto/pwfile.txt 用户名

之后输入密码及确认密码

配置允许任意IP连接以及匿名登陆

这两个如果不做配置是默认开启的。没有特殊需求可以忽略

vim /etc/mosquitto/mosquitto.conf
bind_address 0.0.0.0
allow_anonymous true

服务启动和状态查询

启动mosquitto
sudo service mosquitto restart
或者
systemctl restart mosquitto

查看mosquitto运行状态
sudo service mosquitto status

TLS验证

MQTT协议如果不做配置，其数据在网络传输中是明文传输的，就算配置了账号密码也可以被抓包软件直接获取到。所以公开在公网上的mqtt需要配置TLS保证数据加密。

CA证书获取

CA证书的获取按照自己的网站来获取。测试CA证书可以用下面这个教程
获取私有CA证书文件

CA证书内容查看

CA证书里面的内容什么意思自行查阅。

sudo openssl x509 -in {证书文件} -text -noout

配置单向验证

将服务器的CA文件放在一个指定目录中，然后修改/etc/mosquitto/mosquitto.conf的配置。（也可以在/etc/mosquitto/conf.d中单独另写一个，把CA的配置拆分出来）

# Place your local configuration in /etc/mosquitto/conf.d/
#
# A full description of the configuration file is at
# /usr/share/doc/mosquitto/examples/mosquitto.conf.example

pid_file /var/run/mosquitto.pid

#port 1883
persistence true
persistence_location /var/lib/mosquitto/

log_dest file /var/log/mosquitto/mosquitto.log

include_dir /etc/mosquitto/conf.d

allow_anonymous false
listener 8883  # TLS端口，连接时用这个
cafile /etc/mosquitto/Myca/ca.crt
certfile /etc/mosquitto/Myca/server.crt
keyfile /etc/mosquitto/Myca/server.key
#require_certificate true  # 必须提供证书以保证数据安全性，双向验证用
#use_identity_as_username true  # 若require_certificate值为true，use_identity_as_username也必须为true

然后重启服务sudo service mosquitto restart即可。
之后在mqtt客户端中验证，这里以mqtt.fx为例：

将路径指向CA证书即可。

配置双向验证

将服务器的CA文件放在一个指定目录中，然后修改/etc/mosquitto/mosquitto.conf的配置。（也可以在/etc/mosquitto/conf.d中单独另写一个，把CA的配置拆分出来）

# Place your local configuration in /etc/mosquitto/conf.d/
#
# A full description of the configuration file is at
# /usr/share/doc/mosquitto/examples/mosquitto.conf.example

pid_file /var/run/mosquitto.pid

#port 1883
persistence true
persistence_location /var/lib/mosquitto/

log_dest file /var/log/mosquitto/mosquitto.log

include_dir /etc/mosquitto/conf.d

allow_anonymous false
listener 8883  # TLS端口，连接时用这个
cafile /etc/mosquitto/Myca/ca.crt
certfile /etc/mosquitto/Myca/server.crt
keyfile /etc/mosquitto/Myca/server.key
require_certificate true  # 必须提供证书以保证数据安全性，双向验证用
use_identity_as_username true  # 若require_certificate值为true，use_identity_as_username也必须为true

然后重启服务sudo service mosquitto restart即可。
之后在mqtt客户端中验证，这里以mqtt.fx为例：

将CA证书以及生成的client证书和key文件填入，登录测试即可。

测试

可以从wireshark中看到数据已经被加密了

参考：

Ubuntu使用mosquitto安装配置mqtt服务器
MQTT服务-Mosquitto简单安装及TLS双向认证配置
Wireshark基础篇（捕获&过滤实操）
TLS协议深度解析：挖掘现代网络安全防御的底层技术