使用MQTTnet V5连接AWS IoT时出现认证连接错误

问题根源 #

这个错误的核心是MQTT v5协议的扩展认证机制与AWS IoT Core的证书认证流程不兼容，再加上代码中冗余的证书配置，触发了AWS不支持的认证逻辑。

修复步骤及代码调整 #

1. 切换到MQTT 3.1.1协议
   AWS IoT Core对MQTT 3.1.1的证书认证支持更稳定，能避开v5协议的扩展认证冲突。

2. 精简证书配置
   客户端证书列表只需传入设备证书（.pfx），根CA仅用于验证服务器证书，不需要加入客户端证书链。

3. 修正TLS验证配置
   关闭AllowUntrustedCertificates，通过自定义验证逻辑确保根CA可信，避免安全隐患。

修改后的完整代码：

public async Task MqttConnect()
{
    try
    {
        var factory = new MqttFactory();
        var mqttClient = factory.CreateMqttClient();

        var caCert = X509Certificate.CreateFromCertFile(Path.Combine(AppDomain.CurrentDomain.BaseDirectory, @"certificates\AmazonRootCA1.pem"));
        var clientCert = new X509Certificate2(Path.Combine(AppDomain.CurrentDomain.BaseDirectory, @"certificates\Alt-ThingCert.pfx"), "");              

        // 自定义根CA验证器
        rootCertificateTrust = new RootCertificateTrust();
        rootCertificateTrust.AddCert(caCert);

        // TLS参数配置
        MqttClientOptionsBuilderTlsParameters tlsOptions = new MqttClientOptionsBuilderTlsParameters();
        // 仅传入设备证书
        tlsOptions.Certificates = new List<X509Certificate> { clientCert };
        tlsOptions.SslProtocol = System.Security.Authentication.SslProtocols.Tls12;
        tlsOptions.UseTls = true;
        // 关闭允许不受信任证书，依赖自定义验证逻辑
        tlsOptions.AllowUntrustedCertificates = false;
        tlsOptions.CertificateValidationHandler += rootCertificateTrust.VerifyServerCertificate;

        var options = new MqttClientOptionsBuilder()
            .WithTcpServer(MQTT_Host, MQTT_Port)
            .WithClientId(Guid.NewGuid().ToString())
            .WithTls(tlsOptions)
            // 切换到MQTT 3.1.1协议
            .WithProtocolVersion(MQTTnet.Formatter.MqttProtocolVersion.V311)
            .Build();

        await mqttClient.ConnectAsync(options, CancellationToken.None);

        var message = new MqttApplicationMessageBuilder()
            .WithTopic("HeartBeats")
            .WithPayload("Hello World")
            .Build();

        await mqttClient.PublishAsync(message, CancellationToken.None);

        Console.WriteLine("==>message sent");
    }
    catch(Exception ex)
    {
        string msg = ex.Message;
        // 建议添加日志输出，方便排查
        Console.WriteLine($"连接失败：{msg}");
    }
}

额外检查项 #

• 确认设备证书（.pfx）包含完整证书链（设备证书+中间CA），如果.pfx仅包含设备证书，需合并中间CA后重新生成。
• 检查AWS IoT Policy是否正确关联到证书，Policy需包含iot:Connect、iot:Publish等必要权限，且资源范围匹配（比如HeartBeats主题需在Policy中允许访问）。

内容的提问来源于stack exchange，提问作者FrankL