使用Mosquitto库的C客户端连接MQTT Broker时TLS报错求助

我正在测试基于Mosquitto库编写的C语言MQTT客户端，Broker端TLS相关配置如下：

per_listener_settings true

listener 1883 0.0.0.0
allow_anonymous true

listener 8883 0.0.0.0
max_connections -1
certfile /home/.../server.crt
keyfile /home/.../server.key
#crlfile /mosquitto/config/certificates/ca.crl
require_certificate true
tls_version tlsv1.2
cafile /home/.../ca.crt
allow_anonymous false

客户端核心代码片段：

mqtt = mosquitto_new(NULL, true, this);
mosquitto_tls_set(mqtt, ca_path, client_cert_path, client_private_key_path, NULL);
mosquitto_tls_opts_set(mqtt, 1, "tlsv1.2", NULL);
mosquitto_connect(mqtt, broker_address, 8883, 61);
mosquitto_loop_start(mqtt);

客户端未报告任何错误，但Broker端日志出现如下错误：

1733809961: New connection from 112.122.223.234 on port 8883.
1733809961: OpenSSL Error[0]: error:14094438:SSL routines:ssl3_read_bytes:tlsv1 alert internal error
1733809961: Socket error on client <unknown>, disconnecting.

请问可能的原因是什么？

• 客户端证书未被Broker信任：Broker配置了require_certificate true，强制要求客户端提供由指定CA签发的证书。需确认客户端证书是否由Broker配置中cafile指向的CA证书签名，证书链是否完整（若客户端证书是多级签发，需确保中间证书也被Broker信任）。
• 客户端私钥与证书不匹配：检查client_private_key_path对应的私钥是否和客户端证书是配对生成的；若私钥设置了密码保护，客户端代码未添加密码回调函数，会导致SSL握手失败。
• 证书文件权限不足：Broker运行进程的用户没有读取cafile、certfile、keyfile的权限，导致无法加载证书文件，触发SSL内部错误。可通过chmod调整文件权限，或修改Broker运行用户为拥有读权限的用户。
• TLS加密套件不兼容：两端虽均指定TLSv1.2，但支持的加密套件无交集。可在Broker配置中添加ciphers字段指定兼容套件（如ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384），同时客户端可通过mosquitto_tls_opts_set的第三个参数同步指定。
• 证书有效期异常：检查客户端证书、服务端证书是否过期，或服务器与客户端系统时间偏差过大（超出证书有效期容忍范围）。
• Mosquitto版本不兼容：客户端使用的Mosquitto库版本与Broker版本差异过大，可能存在TLS实现的兼容性问题，建议升级至相同或相近的稳定版本。

内容的提问来源于stack exchange，提问作者user180574