本篇內(nèi)容主要講解“EMQ X中MQTT連接認證怎么配置”，感興趣的朋友不妨來看看。本文介紹的方法操作簡單快捷，實用性強。下面就讓小編來帶大家學(xué)習(xí)“EMQ X中MQTT連接認證怎么配置”吧!

創(chuàng)新互聯(lián)建站服務(wù)項目包括迭部網(wǎng)站建設(shè)、迭部網(wǎng)站制作、迭部網(wǎng)頁制作以及迭部網(wǎng)絡(luò)營銷策劃等。多年來，我們專注于互聯(lián)網(wǎng)行業(yè)，利用自身積累的技術(shù)優(yōu)勢、行業(yè)經(jīng)驗、深度合作伙伴關(guān)系等，向廣大中小型企業(yè)、政府機構(gòu)等提供互聯(lián)網(wǎng)行業(yè)的解決方案，迭部網(wǎng)站推廣取得了明顯的社會效益與經(jīng)濟效益。目前，我們服務(wù)的客戶以成都為中心已經(jīng)輻射到迭部省份的部分城市，未來相信會繼續(xù)擴大服務(wù)區(qū)域并繼續(xù)獲得客戶的支持與信任！

前言

安全保護幾乎對于所有的項目都是一個挑戰(zhàn)，對于物聯(lián)網(wǎng)項目更是如，自普及應(yīng)用以來物聯(lián)網(wǎng)業(yè)內(nèi)已經(jīng)發(fā)生過多起安全事故。

作為物聯(lián)網(wǎng)通信協(xié)議事實標(biāo)準，MQTT 協(xié)議保持著較高的安全性，提供了多層次的安全設(shè)計：

• 傳輸層：MQTT 基于 TCP/IP 協(xié)議，可以在傳輸層上使用 SSL/TLS 進行加密傳輸：

• 使用 SSL/TLS 加密通信數(shù)據(jù)，防止中間人攻擊；

• 使用客戶端證書作為設(shè)備身份憑證，驗證設(shè)備合法性。

• 應(yīng)用層：使用 MQTT 自身的安全特性進行防護：

• MQTT 協(xié)議支持用戶名和密碼實現(xiàn)客戶端的身份校驗；

• MQTT Broker實現(xiàn)了 Topic 的讀寫權(quán)限控制（Topic ACL）。

EMQ X MQTT Broker 完整支持 MQTT 協(xié)議各項安全規(guī)范，內(nèi)置的安全功能無需編程開箱即用，可以快速排除項目中的安全隱患。EMQ X 認證鑒權(quán)系列將圍繞各個層次的安全規(guī)范，介紹如何通過配置 EMQ X 啟用相關(guān)功能最終實現(xiàn)相應(yīng)的安全防護。

認證方式

EMQ X 支持使用內(nèi)置數(shù)據(jù)源（文件、內(nèi)置數(shù)據(jù)庫）、JWT、外部主流數(shù)據(jù)庫和自定義 HTTP API 作為身份認證數(shù)據(jù)源。

連接數(shù)據(jù)源、進行認證是插件實現(xiàn)的，每個插件對應(yīng)一種認證方式，使用前需要啟用相應(yīng)的插件。

客戶端連接時插件通過檢查其 username/clientid 和 password 是否與指定數(shù)據(jù)源的信息一致來實現(xiàn)對客戶端的身份認證。

EMQ X 支持的認證方式：

內(nèi)置數(shù)據(jù)源

• 用戶名認證

• Cliend ID 認證

使用配置文件與 EMQ X 內(nèi)置數(shù)據(jù)庫提供認證數(shù)據(jù)源，通過 HTTP API 進行管理，足夠簡單輕量。

外部數(shù)據(jù)庫

• LDAP 認證

• MySQL 認證

• PostgreSQL 認證

• redis 認證

• MongoDB 認證

外部數(shù)據(jù)庫可以存儲大量數(shù)據(jù)，同時方便與外部設(shè)備管理系統(tǒng)集成。

其他

• HTTP 認證

• JWT 認證

JWT 認證可以批量簽發(fā)認證信息，HTTP 認證能夠?qū)崿F(xiàn)復(fù)雜的認證鑒權(quán)邏輯。

更改插件配置后需要重啟插件才能生效，部分認證鑒權(quán)插件包含 ACL 功能。

認證結(jié)果

任何一種認證方式最終都會返回一個結(jié)果：

• 認證成功：經(jīng)過比對客戶端認證成功

• 認證失?。航?jīng)過比對客戶端認證失敗，數(shù)據(jù)源中密碼與當(dāng)前密碼不一致

• 忽略認證（ignore）：當(dāng)前認證方式中未查找到認證數(shù)據(jù)，無法顯式判斷結(jié)果是成功還是失敗，交由認證鏈下一認證方式或匿名認證來判斷

匿名認證

EMQ X 默認配置中啟用了匿名認證，任何客戶端都能接入 EMQ X。沒有啟用認證插件或認證插件沒有顯式允許/拒絕（ignore）連接請求時，EMQ X 將根據(jù)匿名認證啟用情況決定是否允許客戶端連接。

配置匿名認證開關(guān)：

# etc/emqx.conf

## Value: true | false
allow_anonymous = true

生產(chǎn)環(huán)境中請禁用匿名認證。

密碼加鹽規(guī)則與哈希方法

EMQ X 多數(shù)認證插件中可以啟用哈希方法，數(shù)據(jù)源中僅保存密碼密文，保證數(shù)據(jù)安全。

啟用哈希方法時，用戶可以為每個客戶端都指定一個 salt（鹽）并配置加鹽規(guī)則，數(shù)據(jù)庫中存儲的密碼是按照加鹽規(guī)則與哈希方法處理后的密文。

以 MySQL 認證為例：

加鹽規(guī)則與哈希方法配置：

# etc/plugins/emqx_auth_mysql.conf

## 不加鹽，僅做哈希處理
auth.mysql.password_hash = sha256

## salt 前綴：使用 sha256 加密 salt + 密碼 拼接的字符串
auth.mysql.password_hash = salt,sha256

## salt 后綴：使用 sha256 加密 密碼 + salt 拼接的字符串
auth.mysql.password_hash = sha256,salt

## pbkdf2 with macfun iterations dklen
## macfun: md4, md5, ripemd160, sha, sha224, sha256, sha384, sha512
## auth.mysql.password_hash = pbkdf2,sha256,1000,20

如何生成認證信息

1. 為每個客戶端分用戶名、Client ID、密碼以及 salt（鹽）等信息

2. 使用與 MySQL 認證相同加鹽規(guī)則與哈希方法處理客戶端信息得到密文

3. 將客戶端信息寫入數(shù)據(jù)庫，客戶端的密碼應(yīng)當(dāng)為密文信息

EMQ X 身份認證流程

1. 根據(jù)配置的認證 SQL 結(jié)合客戶端傳入的信息，查詢出密碼（密文）和 salt（鹽）等認證數(shù)據(jù)，沒有查詢結(jié)果時，認證將終止并返回 ignore 結(jié)果

2. 根據(jù)配置的加鹽規(guī)則與哈希方法計算得到密文，沒有啟用哈希方法則跳過此步

3. 將數(shù)據(jù)庫中存儲的密文與當(dāng)前客戶端計算的到的密文進行比對，比對成功則認證通過，否則認證失敗

以 PostgreSQL 認證為例，其功能邏輯如下圖：

寫入數(shù)據(jù)的加鹽規(guī)則、哈希方法與對應(yīng)插件的配置一致時認證才能正常進行。更改哈希方法會造成現(xiàn)有認證數(shù)據(jù)失效。

認證鏈

當(dāng)同時啟用多個認證方式時，EMQ X 將按照插件開啟先后順序進行鏈式認證：

• 一旦認證成功，終止認證鏈并允許客戶端接入

• 一旦認證失敗，終止認證鏈并禁止客戶端接入

• 直到最后一個認證方式仍未通過，根據(jù)匿名認證配置判定

• 匿名認證開啟時，允許客戶端接入

• 匿名認證關(guān)閉時，禁止客戶端接入

同時只啟用一個認證插件可以提高客戶端身份認證效率。

MQTT TLS 認證

MQTT TLS 的默認端口是 8883：

listener.ssl.external = 8883

配置證書和 CA：

listener.ssl.external.keyfile = etc/certs/key.pem
listener.ssl.external.certfile = etc/certs/cert.pem
listener.ssl.external.cacertfile = etc/certs/cacert.pem

注意，默認的 etc/certs 目錄下面的 key.pem、cert.pem 和 cacert.pem 是 EMQ X Broker 生成的自簽名證書，所以在使用支持 TLS 的客戶端測試的時候，需要將上面的 CA 證書 etc/certs/cacert.pem 配置到客戶端。

服務(wù)端支持的 cipher 列表需要顯式指定，默認的列表與 Mozilla 的服務(wù)端 cipher 列表一致：

listener.ssl.external.ciphers = ECDHE-ECDSA-AES256-GCM-SHA384,ECDHE-RSA-AES256-GCM-SHA384,ECDHE-ECDSA-AES256-SHA384,ECDHE-RSA-AES256-SHA384,ECDHE-ECDSA-DES-CBC3-SHA,ECDH-ECDSA-AES256-GCM-SHA384,ECDH-RSA-AES256-GCM-SHA384,ECDH-ECDSA-AES256-SHA384,ECDH-RSA-AES256-SHA384,DHE-DSS-AES256-GCM-SHA384,DHE-DSS-AES256-SHA256,AES256-GCM-SHA384,AES256-SHA256,ECDHE-ECDSA-AES128-GCM-SHA256,ECDHE-RSA-AES128-GCM-SHA256,ECDHE-ECDSA-AES128-SHA256,ECDHE-RSA-AES128-SHA256,ECDH-ECDSA-AES128-GCM-SHA256,ECDH-RSA-AES128-GCM-SHA256,ECDH-ECDSA-AES128-SHA256,ECDH-RSA-AES128-SHA256,DHE-DSS-AES128-GCM-SHA256,DHE-DSS-AES128-SHA256,AES128-GCM-SHA256,AES128-SHA256,ECDHE-ECDSA-AES256-SHA,ECDHE-RSA-AES256-SHA,DHE-DSS-AES256-SHA,ECDH-ECDSA-AES256-SHA,ECDH-RSA-AES256-SHA,AES256-SHA,ECDHE-ECDSA-AES128-SHA,ECDHE-RSA-AES128-SHA,DHE-DSS-AES128-SHA,ECDH-ECDSA-AES128-SHA,ECDH-RSA-AES128-SHA,AES128-SHA

PSK 認證

如果希望使用 PSK 認證，需要將 TLS 認證 中的 listener.ssl.external.ciphers 注釋掉，然后配置 listener.ssl.external.psk_ciphers：

#listener.ssl.external.ciphers = ECDHE-ECDSA-AES256-GCM-SHA384,...
listener.ssl.external.psk_ciphers = PSK-AES128-CBC-SHA,PSK-AES256-CBC-SHA,PSK-3DES-EDE-CBC-SHA,PSK-RC4-SHA

然后啟用 emqx_psk_file 插件：

$ emqx_ctl plugins load emqx_psk_file

PSK 的配置文件為 etc/psk.txt，使用冒號: 分隔 PSK ID 和 PSK：

client1:1234
client2:abcd

到此，相信大家對“EMQ X中MQTT連接認證怎么配置”有了更深的了解，不妨來實際操作一番吧！這里是創(chuàng)新互聯(lián)網(wǎng)站，更多相關(guān)內(nèi)容可以進入相關(guān)頻道進行查詢，關(guān)注我們，繼續(xù)學(xué)習(xí)！

網(wǎng)站名稱：EMQX中MQTT連接認證怎么配置
新聞來源：http://jinyejixie.com/article4/gdpooe.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供建站公司、做網(wǎng)站、品牌網(wǎng)站建設(shè)、App設(shè)計、微信公眾號、Google

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)