如何让Mosquitto通过SSL运行？找不到ca.crt文件求助

CA证书获取位置 #

在搭载WHM面板的CentOS7系统中，Let's Encrypt生成的CA证书（信任链文件）有两个可靠来源：

• 域名专属信任链：通过WHM的Let's Encrypt插件为你的域名生成证书后，信任链文件chain.pem会存放在/etc/letsencrypt/live/你的域名/目录下，这个文件就是你需要的ca.crt，直接引用或复制使用即可。
• 系统级根证书：系统默认的Let's Encrypt根证书也可在/etc/pki/tls/certs/ca-bundle.crt找到，但更推荐使用域名对应的chain.pem，它包含完整的证书信任链，兼容性更好。

配置修正建议 #

你的Mosquitto配置存在两个需要注意的点：

1. 协议与端口匹配：8883端口通常用于mqtt协议的SSL加密传输，若你需要的是WebSocket over SSL，建议改用8084端口，并保留protocol websockets；若为MQTT over SSL，需将8883监听段的protocol websockets改为protocol mqtt。
2. 客户端证书要求：require_certificate true会强制客户端提供证书才能连接，若不需要客户端认证，可改为false，降低配置复杂度。

操作步骤 #

1. 指定CA证书路径：
   直接修改mosquitto.conf中的cafile字段为信任链文件路径，例如：

   cafile /etc/letsencrypt/live/你的域名/chain.pem
   

   或者将文件复制到Mosquitto目录并设置权限：

   cp /etc/letsencrypt/live/你的域名/chain.pem /etc/mosquitto/ca.crt
   chown mosquitto:mosquitto /etc/mosquitto/ca.crt
   chmod 644 /etc/mosquitto/ca.crt
   

2. 重启服务并验证：

   systemctl restart mosquitto
   cat /var/log/mosquitto.log
   

   查看日志确认服务是否正常启动，无SSL相关报错即可。

内容的提问来源于stack exchange，提问作者Parth Hirpara