STM32CubeIDE连接AWS IoT时mbedtls_ssl_handshake失败问题排查

1. 先确认TCP链路与DNS解析是否正常 #

• DHCP成功不代表能建立到AWS的TCP连接，手动验证：在MQTT初始化前，添加TCP客户端代码，尝试连接AWS终端节点的8883端口，打印连接结果。如果TCP连不上，排查以太网驱动、路由、防火墙（开发板或网关）是否拦截8883端口出站流量。
• 验证DNS解析：调用netif_gethostbyname函数解析AWS终端节点域名，打印返回的IP地址。如果解析失败，先硬编码AWS终端节点的实际IP（可通过本地ping域名获取）测试，排除DNS问题。

2. 开启mbedTLS debug日志定位具体错误 #

• 在工程中添加编译宏MBEDTLS_DEBUG_LEVEL=3，或者修改mbedtls配置头文件开启最高级别日志。SWV控制台会输出握手过程的详细步骤，比如证书验证、密钥协商阶段的错误代码（如MBEDTLS_ERR_SSL_CERT_VERIFY_FAILED），这是定位问题的核心依据。
• 检查证书加载完整性：打印加载的CA证书、客户端证书、私钥的字节长度，与本地文件的实际长度对比，确保没有截断或格式错误（PEM格式证书需包含完整的-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----头尾部）。

3. 验证AWS IoT端配置 #

• 确认设备证书已在AWS IoT控制台激活，且绑定了正确的IoT策略：策略必须包含iot:Connect权限，资源需匹配你的设备名称或使用通配符*，同时确保策略状态为“有效”。
• 核对终端节点：必须使用AWS IoT控制台“设置”中的ATS数据终端节点（格式为xxx-ats.iot.<region>.amazonaws.com），避免使用旧的非ATS终端节点。
• 确认端口：8883是标准MQTT over TLS端口，检查代码中端口号是否配置正确，无笔误。

4. 适配参考仓库代码与硬件配置 #

• 对比参考仓库的示例代码，检查网络回调函数、mbedTLS上下文初始化、MQTT客户端参数配置是否与示例一致，重点确认网络栈与MQTT的绑定逻辑是否正常传递网络数据。
• 检查STM32时钟配置：确保以太网外设时钟（如RMII接口的50MHz时钟）配置正确，时钟异常可能导致网络栈或加密库运行不稳定。

内容的提问来源于stack exchange，提问作者Sayali