2017年7月27日 星期四

MQTT mosquitto.conf 參數說明

Mosquitto MQTT 安裝

2016年8月17日
Tags :UbuntuMosquittoMQTT

  • MQTT 的全名為 Message Queuing Telemetry Transport，為 IBM 和 Eurotech 共同製定出來的協定，MQTT 是為了物聯網設計的協定，透過Publish/Subscribe 的方式來做訊息傳送。

  • Publish/Subscribe 有三種主要的組成元件，分別為Publisher、Subscriber 以及 Topic。

  • mosquitto 為 Eclipse 所開發的開源 MQTT broker 和給用戶端使用C語言的API介面，目前最新版本為 V1.4.9。

Prerequisites

sudo wget http://repo.mosquitto.org/debian/mosquitto-repo.gpg.key
sudo apt-key add mosquitto-repo.gpg.key
cd /etc/apt/sources.list.d/
sudo wget http://repo.mosquitto.org/debian/mosquitto-wheezy.list
sudo apt-get update

Install Mosquitto Broker

sudo apt-get install mosquitto

Install Mosquitto Client

sudo apt-get install mosquitto-clients

測試

開啟兩個終端機分別輸入

終端機1(Subscribe)

mosquitto_sub -d -t hello/world

-d :debug 模式 , -t :訂閱的主題名稱 , -h :Broker's IP , -p :Broker's port

終端機2(Publish)

mosquitto_pub -d -t hello/world -m "Hello from Terminal window 2!"

-m :發送的文字內容

當兩個command line 都輸入完後終端機分別會看到

終端機1(Subscribe)

Client mosqsub/83-MQTT1 sending CONNECT
Client mosqsub/83-MQTT1 received CONNACK
Client mosqsub/83-MQTT1 sending SUBSCRIBE (Mid: 1, Topic: hello/world, QoS: 0)
Client mosqsub/83-MQTT1 received SUBACK
Subscribed (mid: 1): 0
Client mosqsub/83-MQTT1 received PUBLISH (d0, q0, r0, m0, 'hello/world', ... (29 bytes))
Hello from Terminal window 2!

終端機2(Publish)

MQTT@MQTT:~$ mosquitto_pub -d -t hello/world -m "Hello from Terminal window 2!"
Client mosqpub/82-MQTT sending CONNECT
Client mosqpub/82-MQTT received CONNACK
Client mosqpub/82-MQTT sending PUBLISH (d0, q0, r0, m1, 'hello/world', ... (29 bytes))
Client mosqpub/82-MQTT sending DISCONNECT

mosquitto.conf 參數說明

設定檔設置於 /etc/mosquitto/mosquitto.conf

詳細的參數說明如下：

# ================================================= ================
# General configuration
# ================================================= ================
  
# 客戶端心跳的間隔時間
#retry_interval 20
  
# 系統狀態的刷新時間
#sys_interval 10
  
# 系統資源的回收時間，0表示盡快處理
#store_clean_interval 10
  
# 服務進程的PID
#pid_file /var/run/mosquitto.pid
  
# 服務進程的系統用戶
#user mosquitto
  
# 客戶端心跳消息的最大並發數
#max_inflight_messages 10
  
# 客戶端心跳消息緩存隊列
#max_queued_messages 100
  
# 用於設置客戶端長連接的過期時間，默認永不過期
#persistent_client_expiration
  
# ================================================= ================
# Default listener
# ================================================= ================
  
# 服務綁定的IP地址
#bind_address
  
# 服務綁定的端口號
#port 1883
  
# 允許的最大連接數，-1表示沒有限制
#max_connections -1
  
# cafile：CA證書文件
# capath：CA證書目錄
# certfile：PEM證書文件
# keyfile：PEM密鑰文件
#cafile
#capath
#certfile
#keyfile
  
# 必須提供證書以保證數據安全性
#require_certificate false
  
# 若require_certificate值為true，use_identity_as_username也必須為true
#use_identity_as_username false
  
# 啟用PSK（Pre-shared-key）支持
#psk_hint
  
# SSL/TSL加密算法，可以使用"openssl ciphers"命令獲取
# as the output of that command.
#ciphers
  
# ================================================= ================
# Persistence
# ================================================= ================
  
# 消息自動保存的間隔時間
#autosave_interval 1800
  
# 消息自動保存功能的開關
#autosave_on_changes false
  
# 持久化功能的開關
persistence true
  
# 持久化DB文件
#persistence_file mosquitto.db
  
# 持久化DB文件目錄
#persistence_location /var/lib/mosquitto/
  
# ================================================= ================
# Logging
# ================================================= ================
  
# 4種日誌模式：stdout、stderr、syslog、topic
# none 則表示不記日誌，此配置可以提升些許性能
log_dest none
  
# 選擇日誌的級別（可設置多項）
#log_type error
#log_type warning
#log_type notice
#log_type information
  
# 是否記錄客戶端連接信息
#connection_messages true
  
# 是否記錄日誌時間
#log_timestamp true
  
# ================================================= ================
# Security
# ================================================= ================
  
# 客戶端ID的前綴限制，可用於保證安全性
#clientid_prefixes
  
# 允許匿名用戶
#allow_anonymous true
  
# 用戶/密碼文件，默認格式：username:password
#password_file
  
# PSK格式密碼文件，默認格式：identity:key
#psk_file
  
# pattern write sensor/%u/data
# ACL權限配置，常用語法如下：
# 用戶限制：user <username>
# 話題限制：topic [read|write] <topic>
# 正則限制：pattern write sensor/%u/data
#acl_file
  
# ================================================= ================
# Bridges
# ================================================= ================
  
# 允許服務之間使用"橋接"模式（可用於分佈式部署）
#connection <name>
#address <host>[:<port>]
#topic <topic> [[[out | in | both] qos-level] local-prefix remote-prefix]
  
# 設置橋接的客戶端ID
#clientid
  
# 橋接斷開時，是否清除遠程服務器中的消息
#cleansession false
  
# 是否發布橋接的狀態信息
#notifications true
  
# 設置橋接模式下，消息將會發佈到的話題地址
# $SYS/broker/connection/<clientid>/state
#notification_topic
  
# 設置橋接的keepalive數值
#keepalive_interval 60
  
# 橋接模式，目前有三種：automatic、lazy、once
#start_type automatic
  
# 橋接模式automatic的超時時間
#restart_timeout 30
  
# 橋接模式lazy的超時時間
#idle_timeout 60
  
# 橋接客戶端的用戶名
#username
  
# 橋接客戶端的密碼
#password
  
# bridge_cafile：橋接客戶端的CA證書文件
# bridge_capath：橋接客戶端的CA證書目錄
# bridge_certfile：橋接客戶端的PEM證書文件
# bridge_keyfile：橋接客戶端的PEM密鑰文件
#bridge_cafile
#bridge_capath
#bridge_certfile
#bridge_keyfile
  
# 自己的配置可以放到以下目錄中
include_dir /etc/mosquitto/conf.d

參考來源 :

  1. Mosquitto簡要教程（安裝/使用/測試）
  2. Tutorial: IOT / Installing and Testing Mosquitto MQTT on the Raspberry Pi

認證方式

Broker的認證方式，Mosquitto端提供了四種認證方法分別為

  • 無認證
  • 帳號/密碼
  • 預先共享密鑰(Pre-shared Key)加密
  • 憑證加密

無認證

要打開 /etc/mosquitto/mosquitto.conf 設定檔將allow_anonymous設定為true即可。此時我們可以利用mosquitto_sub來測試

Subscribe

mosquitto_sub -h "<IP address>" -v -t "<Topic's name>"

Publish

mosquitto_pub -h "<IP address>" -v -t "<Topic's name>" -m "<Message>"

-t :訂閱的主題，-v :連主題名稱也列印在銀幕上。

帳號/密碼

  • 新增帳號密碼

    使用此方式需利用上述的 mosquitto_passwd 產生密碼，並將密碼檔案名稱設定到password_file此欄位。

    mosquitto_passwd -c "<passwordfile>" "<username>"

    如果passwordfile檔案已經存在，則下次新增使用者則不需要加 -c

    下列命令將新產生一個密碼檔案/etc/mosquitto/passwd，並建立一個帳號名稱為easy，使用者輸入密碼後即可建立帳號與密碼

    sudo mosquitto_passwd -c /etc/mosquitto/passwd easy
    Password: xxxx
    Reenter password: xxxx

  • 設定ACL(Access Control List)

    Path : /etc/mosquitto/acl 內容如下:

    # 用戶easy 對於主題hello/world 能夠進行寫入
    user easy  
    topic write hello/world
    # 用戶easy 對於主題hello/world 能夠進行讀取
    user easy  
    topic read hello/world

  • 最後更改 /etc/mosquitto/mosquitto.conf 設定檔

    allow_anonymous false  #不允許匿名傳輸
    password_file /etc/mosquitto/passwd	#配置用戶(username)密碼
    acl_file /etc/mosquitto/acl	#設置用戶與主題(topic)存取權限

  • 測試

    Subscribe

    mosquitto_sub -h "<IP address>" -v -d -t "<topic's name'>" -u "<User>" -P "<Possword>"

    Publish

    mosquitto_pub -h "<IP address>" -v -t "<Topic's name>" -m "<Message>" -u "<User>" -P "<Possword>"

預先共享密鑰(Pre-shared Key)加密

這個認證方式需要使用到OpenSSL中的預先共享密鑰加密方式，而在OpenBSD開發的LibreSSL專案中，因為SSL/TLS安全性的問題，預先共享密鑰加密方式暫時被移除了。

未移除之前的修改方式如下：

  • 設定PSK(Pre-Shared Key)

    Path : /etc/mosquitto/psk 內容如下:

    每一行有兩個欄位以':'隔開，第一個欄位為帳號而第二個欄位即為密鑰

    #帳號:密鑰
    easy:b7ecaa34a9dbd7bfb8e9ee707427176d04d19eb3

  • 修改 /etc/mosquitto/mosquitto.conf 設定檔

    #不允許匿名傳輸
    allow_anonymous false  
    # 取消 MQTT username for access
    require_certificate true    
    # 開啟 pre-shared-key based encryption
    use_identity_as_username true  
    # 設置 psk_file
    psk_file /mosquitto/psk

  • 測試

    Subscribe

    mosquitto_sub -h "<IP address>" -v -d  -t "<topic's name'>" --psk-identity "<id>" -psk "<key>"

    Publish

    mosquitto_pub -h "<IP address>" -v -t "<Topic's name>" --psk-identity "<id>" -psk "<key>" -m "<Message>"

憑證加密

TLS是非常成熟的安全協議，在握手的時候便可以創建安全連接，使得駭客無法竊聽或者篡改內容。使用TLS的時候有以下注意點：

  1. 盡可能使用高版本的TLS。
  2. 驗證X509憑證連結防止中間人攻擊。
  3. 儘量使用有CA發佈的證書。

產生憑證的方法可以參考如下

  • 產生憑證

    建立CA(Certificate Authority)所需的證書及密鑰

    openssl req -new -x509 -days 365 -extensions v3_ca -keyout ca.key -out ca.crt

    系統端的憑證

    # 產生不加密的金鑰
    openssl genrsa -out server.key 2048
    # 產生憑證簽發請求檔案(Certificate Signing Request)
    openssl req -new -key server.key -out server.csr
    # 憑證簽發
    openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365

  • 修改 /etc/mosquitto/mosquitto.conf 設定檔

    listener 8883
    cafile /etc/mosquitto/ca.crt
    certfile /etc/mosquitto/server.crt
    keyfile /etc/mosquitto/server.key

  • 測試

    Subscribe

    mosquitto_sub -d -h "<IP address>" -p 8883 -t topic --cafile ca.crt

    Publish

    mosquitto_pub -d -h "<IP address>" -p 8883 -t topic -m "Hello World!" --cafile ca.crt

參考來源:

  1. Mosquitto - an Open Source MQTT broker
  2. mosquitto介紹 · MQTT and mosquitto
於

沒有留言:

張貼留言

訂閱： 張貼留言 (Atom)

dorowu/ubuntu-desktop-lxde-vnc:bionic-lxqt Docker 映像介紹

 dorowu/ubuntu-desktop-lxde-vnc:bionic-lxqt Docker 映像介紹 1. 基本概述 名稱: dorowu/ubuntu-desktop-lxde-vnc:bionic-lxqt 維護者: Dorowu 用途: 提供基於 Ub...

  • Virtual Machine 中進行開發專案優點 => VM & Docker
    [Virtual Machine 中進行開發專案優點] 在OS 更新頻煩的 現時環境 避面受非技術因素干擾需要穩定的作業環境! 開發者有很多方式去建構自己的開發環境，以 PHP 開發來說，你可以手動ㄧ一安裝每個需要的軟體，像是PHP, Apache, MySQL,...
  • Why not Python?
    Why not Python? Python是一款簡單強大又好用的動態語言，但我不解的是，為何這樣一個好用的語言，在國外已經流行了十幾年，但在國內不要說流行，問很多人的答案都是，連聽都沒有聽過，在探討為何使用Python之前，我先分析為何Python在台灣不流行。 我想最主...
  • OpenStack 和 Hadoop 的區別是什麼？
    作者：慕白流蘇 連結：https://www.zhihu.com/question/2004754700/answer/81441971 來源：知乎 著作權歸作者所有。商業轉載請聯繫作者獲得授權，非商業轉載請注明出處。 重要的事情再重複一遍: 1: 為什麼學習雲計算要從...