Mosquitto Broker配置Let's Encrypt证书与自签名客户端证书时TLS错误排查求助

看起来你遇到的问题是Mosquitto服务器在验证客户端证书时无法识别其签发CA，同时客户端也存在服务器证书信任的问题。我们一步步来排查和解决：

首先分析服务器端的核心问题 #

服务器日志中的error:1404A418:SSL routines:ST_ACCEPT:tlsv1 alert unknown ca明确说明：服务器无法找到客户端证书的签发CA，也就是服务器不信任你的私有CA。下面是几个关键排查点：

1. 确认CA证书的路径与权限 #

• 先检查/mosquitto/certs/ca.crt是否存在且内容正确：

  cat /mosquitto/certs/ca.crt
  

• 确保Mosquitto进程有权限读取这个文件。Mosquitto通常以mosquitto用户运行，执行以下命令测试权限：

  su - mosquitto -c "cat /mosquitto/certs/ca.crt"
  

  如果命令报错，需要调整文件权限：

  chown mosquitto:mosquitto /mosquitto/certs/ca.crt
  chmod 644 /mosquitto/certs/ca.crt
  

2. 验证客户端证书与CA的关联 #

在服务器上运行以下命令，确认客户端证书确实是由你的私有CA签发的：

openssl verify -CAfile /mosquitto/certs/ca.crt /path/to/your/client/keyfile.crt

如果输出keyfile.crt: OK，说明签名没问题；如果报错，你需要重新生成客户端证书，确保使用的是正确的CA密钥和证书。

3. 确认Mosquitto配置已正确加载 #

重启Mosquitto服务后，查看日志是否有类似如下的加载信息：

Loaded CA certificates from /mosquitto/certs/ca.crt

如果没有这条日志，说明配置可能没有生效——检查配置文件是否被正确加载，或者cafile字段是否有拼写错误（比如写成cafiel）。

然后修复客户端的信任问题 #

你的客户端命令中使用了私有CA作为--cafile，但服务器的证书是由Let's Encrypt签发的，客户端无法验证服务器的证书合法性，这也会导致握手失败。你需要让客户端信任Let's Encrypt的根CA：

方法1：直接使用Let's Encrypt的根CA #

Let's Encrypt的根CA通常预装在系统的/etc/ssl/certs/目录下（比如ISRG_Root_X1.pem），修改客户端命令：

mosquitto_pub --cafile /etc/ssl/certs/ISRG_Root_X1.pem --key keyfile.key --cert keyfile.crt -h xxxxxx.duckdns.org -p 8884 -t broker/hello -m "online"

方法2：合并私有CA与Let's Encrypt根CA #

如果你需要客户端同时信任私有CA（比如后续有其他场景），可以将两个CA证书合并成一个文件：

cat /mosquitto/certs/ca.crt /etc/ssl/certs/ISRG_Root_X1.pem > combined_ca.crt

然后客户端命令使用这个合并后的文件：

mosquitto_pub --cafile combined_ca.crt --key keyfile.key --cert keyfile.crt -h xxxxxx.duckdns.org -p 8884 -t broker/hello -m "online"

最后验证 #

完成上述调整后，重启Mosquitto服务，再执行客户端发布命令。如果一切正常，你应该能成功发送消息，服务器日志也不会再出现unknown ca的错误。

内容的提问来源于stack exchange，提问作者Alessandro Perla