Zephyr OS下MQTT TLS连接ThingsBoard失败返回-2问题排查

针对你遇到的无TLS时连接正常、添加TLS初始化后mqtt_connect返回-2（对应ENOENT，文件未找到）或-22（对应EINVAL，参数无效）的问题，以下是分步骤的排查和解决方案：

一、先明确错误码对应问题 #

Zephyr的负数错误码直接映射标准errno：

• -2 → ENOENT：大概率是证书文件未被正确加载（路径错误、未打包进固件）
• -22 → EINVAL：TLS配置参数无效（证书格式错误、上下文初始化流程错误）

二、检查TLS初始化核心环节 #

1. 证书加载的可靠性 #

避免文件系统依赖（推荐嵌入式场景）

如果用文件系统加载证书容易出路径/权限问题，建议直接把PEM证书编译进代码：

// 替换为thingsboard.cloud对应的根CA证书（通常是Let's Encrypt根证书）
static const char tb_root_ca[] = "-----BEGIN CERTIFICATE-----\n"
                                 "MIIDrzCCApegAwIBAgIQCDvgVpBCRrGhdWrJWZHHSjANBgkqhkiG9w0BAQsFADBh\n"
                                 // 省略中间证书内容...
                                 "-----END CERTIFICATE-----";

int tls_init(struct mqtt_client *client) {
    int ret;
    static struct tls_config tls_cfg;

    // 1. 初始化TLS配置上下文
    ret = tls_config_init(&tls_cfg);
    if (ret < 0) {
        printk("TLS config init failed: %d\n", ret);
        return ret;
    }

    // 2. 加载根CA证书（注意用sizeof而非strlen，避免截断换行符）
    ret = tls_config_set_ca_cert(&tls_cfg, (const uint8_t*)tb_root_ca, sizeof(tb_root_ca)-1);
    if (ret < 0) {
        printk("Set CA cert failed: %d\n", ret);
        tls_config_free(&tls_cfg);
        return ret;
    }

    // 3. 绑定TLS配置到MQTT客户端
    client->tls = &tls_cfg;
    client->transport.type = MQTT_TRANSPORT_SECURE;

    return 0;
}

若必须用文件系统加载

需确保：

• 证书文件已通过prj.conf或板级配置打包进固件分区
• 读取路径完全正确（比如/flash/certs/tb_ca.pem）
• 用fs_read而非fopen/fread（Zephyr文件系统API规范），且正确获取证书长度

2. 验证TLS配置流程正确性 #

常见错误点：

• 未调用tls_config_init就直接设置证书参数
• 忘记将MQTT客户端的transport.type设为MQTT_TRANSPORT_SECURE
• 证书长度计算错误（用strlen处理带换行的PEM证书会提前截断）

3. 必须开启的prj.conf配置项 #

# MQTT基础配置
CONFIG_MQTT=y
CONFIG_MQTT_CLIENT=y

# TLS核心配置
CONFIG_TLS=y
CONFIG_TLS_CERTIFICATE_FORMAT_PEM=y
CONFIG_TLS_MAX_FRAGMENT_LENGTH=y

# TLS后端（以mbedTLS为例，Zephyr默认后端）
CONFIG_MBEDTLS=y
CONFIG_MBEDTLS_CERTIFICATE_AUTHORITY=y
CONFIG_MBEDTLS_PEM_PARSE_C=y

# 网络基础
CONFIG_NET_SOCKETS=y
CONFIG_NET_SOCKETS_SOCKOPT_TLS=y
CONFIG_NET_TCP=y

# 调试日志（必开，用于定位细节错误）
CONFIG_LOG=y
CONFIG_LOG_DEFAULT_LEVEL_DBG=y
CONFIG_MQTT_LOG_LEVEL_DBG=y
CONFIG_TLS_LOG_LEVEL_DBG=y

三、证书本身验证 #

用本地OpenSSL命令检查证书有效性：

openssl x509 -in your_cert.pem -text -noout

若命令报错，说明证书损坏或格式错误，需重新导出thingsboard.cloud的根CA证书（可直接从Let's Encrypt官网获取最新根证书）。

四、分步调试技巧 #

1. 先单独测试TLS连接：用Zephyr sockets API跳过MQTT，直接验证TLS握手是否成功：

int test_tls_handshake(void) {
    int sock = socket(AF_INET, SOCK_STREAM, IPPROTO_TLS_1_2);
    if (sock < 0) return sock;

    struct sockaddr_in addr = {
        .sin_family = AF_INET,
        .sin_port = htons(8883),
        .sin_addr.s_addr = inet_addr("18.197.115.17") // mqtt.thingsboard.cloud的IP
    };

    struct tls_config tls_cfg;
    tls_config_init(&tls_cfg);
    tls_config_set_ca_cert(&tls_cfg, (const uint8_t*)tb_root_ca, sizeof(tb_root_ca)-1);

    int ret = setsockopt(sock, SOL_TLS, TLS_CONFIG, &tls_cfg, sizeof(tls_cfg));
    if (ret < 0) { close(sock); return ret; }

    ret = connect(sock, (struct sockaddr*)&addr, sizeof(addr));
    if (ret < 0) {
        printk("TLS handshake failed: %d\n", errno);
    } else {
        printk("TLS handshake success!\n");
    }
    close(sock);
    return ret;
}

如果这个测试失败，专注排查TLS配置；如果成功，问题出在MQTT客户端的参数配置（比如client ID、用户名密码错误）。

2. 查看详细日志：开启调试日志后，重点关注TLS握手阶段的日志，比如是否出现certificate verify failed、unknown CA等关键词，直接定位证书问题。

内容的提问来源于stack exchange，提问作者Hally_BDX