php-MQTT/client库对接Certbot证书的Mosquitto TLS连接问题

我配置了Certbot证书的Mosquitto Broker，用MQTTX测试能正常连通，但用php-MQTT/client库加载消息时一直失败，调试了好几个小时，查了很多资料也没解决。找到的示例大多是本地或自签名证书场景。我能用JavaScript的Paho库连接Broker，但核心工作（消息存MySQL、预处理）想放在服务端用PHP完成，再给前端调用。我在MQTT和API领域经验不多，希望有人指出问题，要是用PHP库处理MQTT的方向不对也可以直说。

已检查证书文件权限，服务器可访问证书；2023-03-26修改为仅使用CA文件：

<?php

declare(strict_types=1);

require __DIR__ . '/vendor/autoload.php';

use PhpMqtt\Client\MqttClient;
use PhpMqtt\Client\ConnectionSettings;

// 定义MQTT Broker地址、端口及TLS端口
$host = 'www.example.com';
$port = 1883;
$tlsPort = 8883;

// 证书文件路径
$caFile = '/etc/mosquitto/certs/chain.pem';
$keyPassphrase = null;

// MQTT认证凭据
$username = 'xxxxx';
$password = 'xxxxxx';

// 创建并配置连接参数
$connectionSettings = (new ConnectionSettings)
    ->setUseTls(true)
    ->setTlsCertificateAuthorityFile($caFile)
    ->setUsername($username)
    ->setPassword($password)
    ->setTlsVerifyPeerName(false);  // 试过设为true，没有区别

// 创建MQTT客户端实例
$client = new MqttClient($host, $port, 'php-mqtt-client');

// 启用错误日志
ini_set('log_errors', '1');
ini_set('error_log', 'php_errors.log');

// 设置错误报告级别为显示所有错误
error_reporting(E_ALL);

// 自定义错误处理函数
set_error_handler(function($errno, $errstr, $errfile, $errline) {
    error_log("Error [$errno]: $errstr in $errfile on line $errline");
});
ini_set('display_errors', '1');

// 连接到MQTT Broker
$client->connect($connectionSettings);

// 订阅主题
$client->subscribe('topic', function ($topic, $message, $retained, $matchedWildcards) {
    echo sprintf("Received message on topic [%s]: %s\n", $topic, $message);
}, 0);

$client->loop(true);

// 断开连接
$client->disconnect();

[26-Mar-2023 19:57:55 UTC] Error [2]: stream_socket_enable_crypto(): SSL: Connection reset by peer in /var/www/www.example.com/vendor/php-mqtt/client/src/MqttClient.php on line 266
[26-Mar-2023 19:57:55 UTC] PHP Fatal error:  Uncaught PhpMqtt\Client\Exceptions\ConnectingToBrokerFailedException: [2000] Establishing a connection to the MQTT broker failed: TLS error [UNKNOWN:1]: Unknown error in /var/www/www.example.com/vendor/php-mqtt/client/src/MqttClient.php:284
Stack trace:
#0 /var/www/www.example.com/vendor/php-mqtt/client/src/MqttClient.php(158): PhpMqtt\Client\MqttClient->establishSocketConnection()
#1 /var/www/www.example.com/vendor/php-mqtt/client/src/MqttClient.php(144): PhpMqtt\Client\MqttClient->connectInternal()
#2 /var/www/www.example.com/test.php(56): PhpMqtt\Client\MqttClient->connect()
#3 {main}
  thrown in /var/www/www.example.com/vendor/php-mqtt/client/src/MqttClient.php on line 284

• 端口不匹配：你开启了TLS连接，但客户端实例用的是非TLS端口1883，Broker会直接重置连接，这和日志里的"Connection reset by peer"完全吻合。修改客户端实例代码，改用TLS端口：

  $client = new MqttClient($host, $tlsPort, 'php-mqtt-client');
  

• 证书验证问题：确认chain.pem包含完整的证书链（根CA+中间证书），可临时关闭peer验证测试（仅用于排查，生产环境不建议）：

  $connectionSettings->setTlsVerifyPeer(false);
  

  如果能连接，说明证书链存在问题，需重新确认Certbot生成的证书路径及完整性。
• PHP SSL兼容性：检查PHP的openssl扩展版本，确保支持Mosquitto使用的TLS版本（通常是1.2或1.3），可强制指定TLS协议：

  $connectionSettings->setTlsAllowedProtocols([TLSv1_2, TLSv1_3]);
  

• 网络权限限制：确认服务器本地PHP进程的出站8883端口未被防火墙或SELinux拦截，虽然MQTTX能连接，但本地进程的网络权限可能不同。

内容的提问来源于stack exchange，提问作者MathCoMath