Mosquitto MQTT Broker TLS证书IP不匹配问题求助

你碰到的Error [ERR_TLS_CERT_ALTNAME_INVALID]，本质是Node.js v16+的TLS验证逻辑变严格了：当你用IP地址（172.27.224.1）连接MQTT服务器时，客户端会要求服务器证书的**Subject Alternative Name（SAN）**字段里明确包含这个IP，不再认证书里的CN（通用名称）字段了。

你现在的CA证书（估计直接给Mosquitto当服务器证书用了）只把CN设成了172.27.224.1，但没加SAN扩展，所以客户端验证时直接判定IP不在证书的备用名称列表里，报错。

另外还有个误区：CA证书是用来签发其他证书的，不能直接当服务器证书用。Mosquitto作为服务器，得用单独的、由CA签发的服务器证书才行。

1. 先写两个OpenSSL配置文件 #

创建ca.cnf（用来生成CA证书）：

[req]
distinguished_name = req_distinguished_name
x509_extensions = v3_ca
prompt = no

[req_distinguished_name]
CN = MQTT-CA

[v3_ca]
subjectAltName = IP:172.27.224.1
basicConstraints = CA:TRUE
keyUsage = keyCertSign, cRLSign

创建server.cnf（用来生成服务器证书请求）：

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
prompt = no

[req_distinguished_name]
CN = 172.27.224.1

[v3_req]
subjectAltName = IP:172.27.224.1
basicConstraints = CA:FALSE
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth

2. 重新生成CA证书 #

# 生成CA私钥（如果之前有ca.key可以跳过，记得输入密码）
openssl genrsa -des3 -out ca.key 2048
# 生成带SAN扩展的CA证书
openssl req -new -x509 -days 1826 -key ca.key -out ca.crt -config ca.cnf

3. 生成Mosquitto专用的服务器证书 #

# 生成服务器私钥
openssl genrsa -out server.key 2048
# 生成服务器证书请求
openssl req -new -out server.csr -key server.key -config server.cnf
# 用CA签发服务器证书（注意要指定扩展配置）
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 360 -extensions v3_req -extfile server.cnf

4. 重新生成客户端证书（可选，之前的如果没问题也能用） #

客户端证书的CN设成username是对的，重新生成的话用这些命令：

openssl genrsa -out client.key 2048
openssl req -new -out client.csr -key client.key -subj "/CN=username"
openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt -days 360

5. 更新Mosquitto配置 #

打开你的mosquitto.conf，确保证书路径正确：

listener 8883
cafile /你的证书路径/ca.crt
certfile /你的证书路径/server.crt
keyfile /你的证书路径/server.key
require_certificate true

6. 调整Node.js客户端代码 #

确保客户端加载正确的证书文件，示例：

const mqtt = require('mqtt');
const fs = require('fs');

const options = {
  host: '172.27.224.1',
  port: 8883,
  protocol: 'mqtts',
  ca: fs.readFileSync('/你的证书路径/ca.crt'),
  cert: fs.readFileSync('/你的证书路径/client.crt'),
  key: fs.readFileSync('/你的证书路径/client.key'),
  rejectUnauthorized: true // 保持验证开启，默认就是true
};

const client = mqtt.connect(options);

• 别把CA证书直接当服务器证书用，CA是用来签证书的，服务器得用专属的服务器证书。
• 只要是用IP连接服务器，服务器证书必须在SAN里加这个IP，不然Node.js v16+肯定验证失败。
• 之前的证书生成流程没加SAN扩展，这是核心问题。

内容的提问来源于stack exchange，提问作者sirzento