EMQX/NanoMQ 中的 SSL/TLS 安全通信配置指南

最新推荐文章于 2025-07-20 16:29:46 发布

原创最新推荐文章于 2025-07-20 16:29:46 发布 · 360 阅读

CC 4.0 BY-SA版权

EMQX/NanoMQ 中的 SSL/TLS 安全通信配置指南

前言

在现代物联网和消息通信系统中，数据传输安全至关重要。EMQX/NanoMQ 作为高性能的 MQTT 消息中间件，支持通过 SSL/TLS 协议为通信提供安全保障。本文将深入解析 SSL/TLS 的工作原理，并详细介绍如何在 NanoMQ 中配置双向认证。

SSL/TLS 基础概念

SSL（Secure Socket Layer）和 TLS（Transport Layer Security）是用于保障网络通信安全的加密协议。TLS 是 SSL 的后续版本，目前已成为行业标准。

核心安全特性

加密传输：采用对称加密算法对传输数据进行加密，防止中间人窃听
身份认证：通过数字证书验证通信双方身份，防止伪装攻击
完整性校验：使用消息认证码(MAC)确保数据未被篡改
前向安全性：支持完美前向保密(PFS)算法，即使长期密钥泄露也不会影响历史通信安全

单向认证 vs 双向认证

单向认证流程

仅服务器向客户端提供证书
客户端验证服务器身份
适用于大多数 Web 应用场景
配置简单，性能开销小

双向认证流程

服务器和客户端互相验证对方证书
建立完全可信的双向通信通道
适用于金融、医疗等高安全需求场景
配置较复杂，但安全性更高

证书创建实战

准备工作

确保系统已安装 OpenSSL 工具链，推荐使用 1.1.1 或更新版本。

创建私有 CA

生成 CA 私钥：

openssl genrsa -out ca.key 4096

创建自签名 CA 证书（有效期10年）：

openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 -out ca.pem

生成服务器证书

创建服务器私钥：

openssl genrsa -out server.key 2048

生成证书签名请求(CSR)：

openssl req -new -key server.key -out server.csr

使用 CA 签发服务器证书：

openssl x509 -req -in server.csr -CA ca.pem -CAkey ca.key -CAcreateserial -out server.pem -days 3650 -sha256

生成客户端证书

创建客户端私钥：

openssl genrsa -out client.key 2048

生成证书签名请求：

openssl req -new -key client.key -out client.csr

使用 CA 签发客户端证书：

openssl x509 -req -in client.csr -CA ca.pem -CAkey ca.key -CAcreateserial -out client.pem -days 3650 -sha256

NanoMQ 双向认证配置

在 NanoMQ 的配置文件中，找到桥接配置部分，添加以下 SSL/TLS 相关参数：

bridges.mqtt.secure_bridge {
    # 基础连接配置
    server = "mqtts://remote.server:8883"
    clientid = "secure_client"
    
    # SSL/TLS 配置
    ssl {
        key_password = "your_private_key_password"  # 私钥密码（如有）
        keyfile = "/path/to/client.key"            # 客户端私钥路径
        certfile = "/path/to/client.pem"           # 客户端证书路径
        cacertfile = "/path/to/ca.pem"             # CA 证书路径
        verify_peer = true                         # 启用服务端验证
        fail_if_no_peer_cert = true                # 要求客户端提供证书
    }
}