Docker Compose下Mosquitto配置1883端口容器名访问咨询

你预期的listener 1883 app配置方式无法生效。
Mosquitto的listener <port> <bind_address>参数要求绑定地址是Broker进程所在容器自身的本地网卡IP，app是Python应用容器的主机名，解析后得到的是app容器的IP，不属于mqtt-xyz容器的本地网卡，Mosquitto启动时会直接抛出绑定地址失败的错误。

不需要硬编码容器IP，下面两种方案都可以稳定实现你的需求，且完全适配Docker容器IP动态变化的场景：

Docker Compose默认会为服务创建独立的私有桥接网络，未映射到宿主机的端口仅能被同网络内的服务访问，外部网络、宿主机外的设备完全无法触达，利用这个特性可以用最少的配置满足需求：

• 修改docker-compose.yml中mqtt-xyz服务的端口配置，仅对外开放8883端口，不对1883做宿主机映射：

version: '3.8'
services:
  app:
    build: .
    # 保留原有app服务配置即可
  mqtt-xyz:
    build: .
    ports:
      # 仅映射TLS加密端口到宿主机
      - "8883:8883"
    # 保留原有mqtt服务其余配置

• 修改mosquitto.conf，开启监听器独立配置，分别给两个端口设置规则：

# 开启按监听器独立应用配置
per_listener_settings true

# 对外TLS端口，保留你之前已经调试通的所有配置即可
listener 8883
cafile /your/path/ca.crt
certfile /your/path/server.crt
keyfile /your/path/server.key
# 按你的需求配置对外端口的认证、权限规则

# 内部非加密端口，默认监听容器内所有网卡即可
listener 1883
# 内部端口可按需开启匿名访问或配置内部专用账号
allow_anonymous true

配置完成后，app容器内直接用mqtt-xyz:1883作为Broker地址即可建立非加密连接，外部用户只能通过宿主机IP:8883走TLS连接，完全无法访问1883端口。

如果你的宿主机上还运行了其他Docker容器，需要严格限制仅app服务能连接1883端口，可以在方案1的基础上增加Mosquitto访问控制规则，利用Docker内置DNS实现主机名动态匹配，不需要硬编码IP：

• 保持方案1中的docker-compose端口映射配置不变
• 修改mosquitto.conf，为1883端口指定ACL规则文件：

per_listener_settings true

# 8883端口原有配置保持不变
listener 8883
cafile /your/path/ca.crt
certfile /your/path/server.crt
keyfile /your/path/server.key

listener 1883
allow_anonymous false
# 指定ACL配置文件路径
acl_file /mosquitto/config/acl.conf

• 新建acl.conf配置文件，直接使用Docker Compose服务名做访问来源限制，Mosquitto会自动通过Docker DNS解析服务名对应的IP，容器重启IP变动也不需要修改配置：

# 允许来自app服务的所有连接，授予全部主题读写权限
topic readwrite #
allow from app

注意：不要尝试将listener绑定到Docker网桥IP、容器固定IP这类静态地址，容器重建、网络配置调整时这类地址可能发生变动，反而会导致服务不可用。

内容的提问来源于stack exchange，提问作者fbzyx