Mosquitto MQTT Broker SSL认证：私钥与客户端证书获取咨询

一、私钥的获取 #

你从域名商处拿到的SSL证书，对应的私钥应该是你在申请证书时自行生成的——通常申请流程是：先在本地或EC2服务器上生成私钥和CSR（证书签名请求），再将CSR提交给域名商的CA机构，CA验证后返回你现在拿到的这份证书。

如果当时没保存私钥，处理方式有两种：

• 登录域名商的证书管理后台，查看是否有私钥下载入口（部分域名商在签发证书时会保存你的私钥并提供下载）；
• 如果后台没有，只能重新生成新的私钥和CSR，再向域名商重新申请证书（注意：旧证书会失效，需要替换）。

⚠️ 私钥必须妥善保存在EC2服务器上，权限设置为chmod 600 your_private.key，避免泄露。

二、客户端证书的获取/生成 #

客户端证书用于双向SSL认证（如果仅需单向认证——客户端验证服务器证书、服务器不验证客户端身份——则不需要客户端证书）。常用的两种方式：

1. 商业CA签发（不推荐） #

你购买证书的域名商CA理论上可以签发客户端证书，但成本高、流程繁琐，一般只用于企业级严格合规场景，个人或中小项目不建议。

2. 自建私有CA生成（推荐） #

在EC2的Ubuntu实例上自行搭建私有CA，用它来签发客户端证书，免费且可控，步骤如下：

首先安装OpenSSL工具：

sudo apt update && sudo apt install openssl -y

生成私有CA的根证书和私钥

# 生成CA私钥（设置密码，务必牢记）
openssl genrsa -des3 -out ca.key 2048

# 生成CA根证书，有效期设为10年
openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 -out ca.crt

生成客户端证书

# 生成客户端私钥
openssl genrsa -out client.key 2048

# 生成客户端CSR
openssl req -new -key client.key -out client.csr

# 用CA根证书签发客户端证书，有效期1年
openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt -days 365 -sha256

生成后，将ca.crt、client.crt、client.key分发给需要连接的客户端即可。

三、Mosquitto配置示例 #

在/etc/mosquitto/mosquitto.conf中添加以下配置（替换为你的文件路径）：

# 开启SSL监听端口
listener 8883

# 服务器证书和私钥路径
certfile /etc/mosquitto/certs/www.domain.com.crt
keyfile /etc/mosquitto/certs/your_private.key

# 若开启双向认证，添加以下配置
cafile /etc/mosquitto/certs/ca.crt
require_certificate true
use_identity_as_username true

配置完成后重启Mosquitto服务：

sudo systemctl restart mosquitto

内容的提问来源于stack exchange，提问作者AbheshekSharma