无法通过TLS连接MQTT Broker：Zabbix Agent2插件连接超时

1. 显式指定CA证书路径 #

Zabbix Agent2的mqtt.get监控项默认不会自动加载系统CA目录的证书，需要在键值中显式指定证书路径。修改监控项键值为：

mqtt.get[tls://<broker_ip>:8883,<topic>,<user>,<pass>,cafile=/etc/ssl/certs/cafile.crt]

• 替换<broker_ip>、<topic>等占位符为实际值，确保证书文件路径准确
• 验证Zabbix用户（通常为zabbix）对证书文件的读取权限，可执行：

  chmod o+r /etc/ssl/certs/cafile.crt
  

2. 检查网络访问限制 #

即使mosquitto_sub能正常连接，Zabbix Agent2可能受安全策略限制：

• SELinux限制：临时关闭SELinux测试：

  setenforce 0
  

  若连接恢复，添加SELinux端口规则：

  semanage port -a -t mqtt_port_t -p tcp 8883
  

• 防火墙规则：确保8883端口已开放：

  firewall-cmd --add-port=8883/tcp --permanent
  firewall-cmd --reload
  

3. 调整插件连接超时 #

日志显示连接超时时间为5秒，可能因网络延迟导致失败。修改zabbix_agent2.conf配置文件：

Plugins.MQTT.Timeout=10

重启Zabbix Agent2生效：

systemctl restart zabbix-agent2

4. 验证证书可用性 #

以Zabbix用户身份测试证书读取：

su - zabbix -s /bin/bash -c "cat /etc/ssl/certs/cafile.crt"

若报错，说明权限不足或路径错误。同时确保证书为PEM格式（Zabbix MQTT插件仅支持该格式）。

5. 临时跳过证书验证（测试用） #

若需快速确认是否为证书验证问题，可添加insecure=true参数跳过验证：

mqtt.get[tls://<broker_ip>:8883,<topic>,<user>,<pass>,insecure=true]

若连接成功，说明问题出在证书配置，回到步骤1修复证书路径和权限。

内容的提问来源于stack exchange，提问作者HarryKalahan