Azure IoT Edge主从节点配置：证书验证与预配故障排查

核心问题定位 #

从节点SSL连接已恢复，但预配阶段触发Hub client error，说明问题集中在设备身份验证、网关路由配置、预配流程证书关联上，以下是针对性排查步骤：

1. 验证从节点设备身份配置 #

• 确认连接字符串正确性：确保连接字符串包含GatewayHostName=iot-edge-gateway.local，且设备ID、共享访问密钥/对称密钥与IoT Hub中注册的从节点设备完全匹配，无拼写或换行错误
• 检查/etc/aziot/config.toml预配段：
  • 若用手动预配，确认[provisioning]块source = "manual"，且device_connection_string字段完整
  • 若用DP预配，确认ID scope、注册ID、密钥及gateway_host_name配置无误

2. 检查主节点网关路由与权限 #

• 确认主节点edgeHub路由规则：
  • 执行iotedge list验证主节点edgeHub运行正常
  • 查看主节点/etc/aziot/config.toml的[edgeHub.route]配置，确保存在"from/* into $upstream"全局路由，或针对从节点设备ID的特定转发规则
• 确认主节点网关模式生效：
  • 检查主节点/etc/aziot/config.toml的[agent]块，gateway_mode设为"transparent"或"route"（匹配场景），且已执行systemctl restart aziot-edge生效

3. 证书关联与权限检查 #

• 确认从节点证书权限：
  • 执行ls -l /etc/aziot/certs/，确保根证书、中间证书、设备CA证书权限为644，所属用户组为aziotcs
  • 验证/etc/aziot/config.toml配置：[trust_bundle]的certificate指向正确根证书路径，[device_ca]块正确关联设备CA证书与密钥
• 验证证书链一致性：
  • 在从节点执行openssl verify -CAfile <根证书路径> <中间证书路径>，确认证书链验证通过
  • 对比主节点生成的证书与从节点部署证书的指纹，确保无篡改或版本不一致

4. 日志深度分析 #

• 查看从节点aziot-edged详细日志：
  • 执行journalctl -u aziot-edged -f -o cat，过滤预配阶段日志，查找Hub client error的具体子错误（如身份验证失败、路由不可达等）
• 检查主节点edgeHub日志：
  • 执行iotedge logs edgeHub，查找包含从节点设备ID的条目，判断是否存在连接拒绝或路由失败记录

5. 网络连通性验证 #

• 测试从节点与主节点端口连通性：
  • 执行nc -zv iot-edge-gateway.local 8883（MQTT端口）和nc -zv iot-edge-gateway.local 443（HTTPS端口），确认端口可访问
• 验证主节点路由到IoT Hub的能力：
  • 在从节点执行curl -v https://<IoT Hub名称>.azure-devices.net --resolve <IoT Hub名称>.azure-devices.net:443:<主节点静态IP>，检查是否能建立SSL连接并收到Hub响应

内容的提问来源于stack exchange，提问作者user3214726