使用netconn_gethostbyname()连接MQTTS时遇MBEDTLS SSL致命警报错误

一、域名转IP的实现方式是否正确？ #

你的实现方式基本可行，但需注意以下细节：

• netconn_gethostbyname()是LWIP同步DNS解析接口，在FreeRTOS任务中调用没问题，但要确保TCP/IP核心已完成初始化（代码中通过sem_ipv4_addr_valid信号量做了保障，这一点合理）。
• 存在DNS缓存局限性：若MQTT服务器IP变更，当前代码不会自动重新解析域名，建议在重连逻辑中加入域名重新解析步骤，避免长期使用旧IP。
• 可考虑替换为异步DNS接口dns_gethostbyname()，避免同步解析在网络差时阻塞MQTT任务。

二、错误警报信息翻译与原因分析 #

警报信息翻译 #

收到一条警报消息，类型：[2:40]
这是一条致命警报消息（消息代码40）

mbedTLS中，代码40对应**MBEDTLS_SSL_ALERT_HANDSHAKE_FAILURE**（握手失败），说明TLS握手阶段服务器无法与客户端协商出有效加密参数，或验证环节出错。

可能原因与解决建议 #

1. 缺失SNI（服务器名称指示）
   若MQTT服务器为多域名托管，客户端必须在TLS握手时发送SNI扩展，否则服务器无法返回对应证书。当前代码未设置SNI，需补充：

   altcp_tls_conf_set_hostname(tls_config, "myhostname");
   

2. CA证书异常
   确认CA证书是否为服务器证书的信任链根证书，格式是否为标准PEM格式（包含-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----）；同时检查strlen(ca_cert) + 1的长度计算是否正确，若证书存储在字符数组中，建议用预定义长度宏替代strlen，避免空字符截断。

3. TLS版本/加密套件不匹配
   服务器可能禁用了客户端默认支持的TLS版本或加密套件，可强制指定TLS版本（例如TLS 1.2）：

   altcp_tls_conf_min_version(tls_config, MBEDTLS_SSL_MIN_VERSION_TLS1_2);
   altcp_tls_conf_max_version(tls_config, MBEDTLS_SSL_MAX_VERSION_TLS1_2);
   

   同时完善my_debug函数，通过已开启的mbedTLS调试日志（阈值4）查看握手过程中双方协商的版本、套件是否匹配。

4. 证书验证失败
   可临时关闭证书验证（仅用于调试）：

   altcp_tls_conf_authmode(tls_config, MBEDTLS_SSL_VERIFY_NONE);
   

   若关闭后能正常连接，说明证书验证环节存在问题，需检查CA证书有效性、服务器证书域名是否与连接域名一致。

5. 网络连通性问题
   确认设备能正常访问MQTT服务器的MQTTS端口（常用8883/443），可通过ping服务器IP验证连通性，或抓包查看TLS握手阶段的数据包交互情况。

内容的提问来源于stack exchange，提问作者Faries Atta