Paho MQTT C++连接AWS IoT Core时服务器地址配置的疑问

问题背景 #

我用Paho MQTT CPP 1.2.0开发C++客户端连接AWS IoT Core，基于ssl_publish示例使用async_client类。发现只有同时做以下两步才能成功连接并发布消息：

• 把AWS IoT Core端点的IP以ssl://<IP>:8883格式传入async_client构造函数
• 通过connection_options::set_servers()传入AWS IoT Core的域名

否则会触发-1、-11等TCP错误。为什么构造函数已经传了地址，还要重复设置？这是Bug还是设计预期？

核心原因：AWS IoT Core的SSL证书验证要求 #

AWS IoT Core的SSL证书是绑定在它的专属域名上的（比如xxxxx.iot.eu-west-1.amazonaws.com），而非IP地址。建立SSL连接时必须满足两个条件：

1. 握手时通过**SNI（Server Name Indication）**扩展告诉服务器要访问的域名
2. 验证服务器证书的CN/SAN字段与目标域名匹配

如果直接用IP连接且不指定域名，SSL握手会因为证书域名不匹配而失败，最终导致TCP连接被中断，出现你看到的-1、-11错误。

Paho MQTT CPP的设计逻辑（不是Bug） #

这是Paho CPP的设计预期，而非Bug：

• async_client构造函数的地址仅用于建立TCP连接的目标IP/端口
• connect_options::set_servers()的作用不止是设置备用服务器列表：当启用SSL时，Paho会用这里指定的域名设置SNI扩展，同时用这些域名校验服务器证书的合法性

你当前的做法本质是用IP建立TCP连接，通过set_servers()传入域名来满足SSL的SNI和证书验证要求，属于一种绕过直接用域名可能遇到问题的临时方案。

正确的简化用法 #

其实不需要同时设置IP和域名，直接用AWS IoT Core的域名作为async_client的构造地址即可，前提是确保SSL选项配置正确：

// 直接用AWS IoT Core域名，无需IP
const std::string DFLT_SERVER_ADDRESS   { "ssl://xxxxx.iot.eu-west-1.amazonaws.com:8883" };
const std::string DFLT_CLIENT_ID        { "mytopic" };

/**
 * 其他主题、QoS等定义省略
 */

class callback : public virtual mqtt::callback {
    // 回调实现省略
};

using namespace std;

int main(int argc, char* argv[]) {
    string address  = (argc > 1) ? string(argv[1]) : DFLT_SERVER_ADDRESS;
    string clientID = (argc > 2) ? string(argv[2]) : DFLT_CLIENT_ID;

    mqtt::async_client client(address, clientID);

    callback cb;
    client.set_callback(cb);

    mqtt::ssl_options sslopts;
    // 关键：配置AWS IoT根证书、设备证书及私钥路径
    sslopts.set_trust_store("/path/to/aws-root-ca.pem");
    sslopts.set_key_store("/path/to/device-cert.pem");
    sslopts.set_private_key("/path/to/device-private-key.pem");

    mqtt::connect_options connopts;
    connopts.set_ssl(sslopts);
    // 其他连接选项（如LWT）配置省略

    try {
        cout << "\nConnecting ... " << endl;
        mqtt::token_ptr conntok = client.connect(connopts);
        conntok->wait();
        cout << "  ...OK" << endl;

        cout << "\nSending message..." << endl;
        auto msg = mqtt::make_message(LWT_TOPIC, "Hello World!", QOS, true);
        client.publish(msg)->wait_for(TIMEOUT);
        cout << "  ...OK" << endl;

        cout << "\nDisconnecting..." << endl;
        client.disconnect()->wait();
        cout << "  ...OK" << endl;
    }
    catch (const mqtt::exception& exc) {
        cerr << exc.what() << endl;
        return 1;
    }

    return 0;
}

为什么直接用域名可能失败？ #

如果之前尝试直接用域名连接失败，大概率是以下原因：

1. DNS解析问题：运行环境无法正确解析AWS IoT Core域名到对应IP
2. SSL选项配置不全：未指定AWS根证书，导致证书链验证失败
3. 旧版本Paho的SNI自动处理缺陷：Paho 1.2.0理论上支持自动从域名提取SNI，但如果环境或配置有异常，可能需要手动开启SNI（可通过sslopts.set_enable_sni(true)强制开启）

补充：mosquitto_pub能直接用域名的原因 #

mosquitto工具会自动从传入的域名中提取SNI，并默认完成证书链验证（只要指定了根证书），无需额外配置就能通过SSL验证，这是工具与Paho库的设计差异导致的用法不同。

内容的提问来源于stack exchange，提问作者Ramin Toussi