Mosquitto配置：无需认证仅允许指定主机（Docker部署的Node-RED）连接Broker

没问题，这个需求完全可以实现！针对你用Docker部署的Mosquitto和Node-RED场景，我给你两种实用的方案，你可以根据自己的实际情况选择：

方案1：用ACL规则精准控制（推荐，灵活适配多场景） #

这种方式不需要额外插件，通过Mosquitto自带的ACL（访问控制列表）规则，既能规避全局匿名访问的风险，又能让指定主机（比如Node-RED）无需认证就能连接。

步骤1：修改Mosquitto主配置文件 #

打开你的mosquitto.conf，改成下面这样：

# 开启监听器独立配置，方便针对1883端口单独设置规则
per_listener_settings true

# 配置1883端口监听器
listener 1883
# 全局禁止匿名访问
allow_anonymous false
# 指定ACL规则文件路径（需要你新建这个文件）
acl_file /mosquitto/config/acl.conf
# （可选）如果有其他需要认证的用户，添加密码文件路径
password_file /mosquitto/config/pwfile

步骤2：编写ACL规则文件 #

在Mosquitto的配置目录下新建acl.conf，添加以下规则：

# 允许来自Node-RED容器的连接（这里用容器名，Docker内部DNS会自动解析为IP）
address allow node-red

# 如果你知道Node-RED的固定IP，也可以直接写IP，比如：
# address allow 172.18.0.2

# 为无需认证的客户端开放全权限（可根据需求调整topic范围）
topic readwrite #

# （可选）给认证用户设置权限，比如：
# user my_valid_user
# topic readwrite sensor/#

步骤3：（可选）添加认证用户 #

如果有其他应用需要通过用户名密码连接，你可以生成密码文件：

# 进入Mosquitto容器
docker exec -it mosquitto sh
# 创建密码文件并添加用户（替换my_valid_user为你的用户名）
mosquitto_passwd -c /mosquitto/config/pwfile my_valid_user
# 按提示输入密码后退出容器
exit

步骤4：重启Mosquitto生效 #

docker restart mosquitto

这样配置后，只有来自node-red主机名（容器名）的客户端可以无需认证连接，其他客户端必须提供有效的用户名密码才能访问。

方案2：Docker网络隔离（简单直接，适合单一场景） #

如果你的场景里只有Node-RED需要无认证访问Mosquitto，其他应用要么不需要连接，要么通过加密端口（比如8883）认证连接，那用Docker网络隔离会更简单：

步骤1：创建专属Docker网络 #

docker network create mqtt-private-network

步骤2：重新启动Mosquitto容器 #

把Mosquitto加入专属网络，这样只有同网络的容器才能访问它：

docker run -d --name mosquitto --network mqtt-private-network -v ./mosquitto/config:/mosquitto/config eclipse-mosquitto:2.0.11

步骤3：启动Node-RED容器加入同一网络 #

docker run -d --name node-red --network mqtt-private-network nodered/node-red

步骤4：修改Mosquitto配置 #

在mosquitto.conf里允许匿名访问，但确保监听的是容器内部网络：

listener 1883 0.0.0.0
allow_anonymous true

重启Mosquitto后，只有加入mqtt-private-network的Node-RED容器能连接，外部或其他网络的应用根本访问不到Mosquitto的1883端口，自然也无法连接。

小提示 #

• 用容器名作为主机名时，Docker内部的DNS会自动解析容器的实时IP，哪怕Node-RED重启IP变了也不用改配置，很方便。
• ACL规则的顺序很重要，一定要先写allow规则，再写deny规则，不然会先匹配到拒绝规则导致指定主机也连不上。

内容的提问来源于stack exchange，提问作者SomeoneNew2Unix