C#使用MQTTnet搭建SSL加密MQTT Broker连接失败问题

你的配置存在4个直接导致SSL连接失败的错误：

• 仅调用WithDefaultEndpoint()只会启用1883端口的明文非加密监听，你没有显式开启加密端点，SSL相关配置完全没有生效
• 使用SslProtocols.Default作为协议版本属于过时配置，在多数.NET运行时版本下仅支持老旧的TLS1.0/SSL3协议，和现代客户端（包括MQTTX）的握手协议不匹配
• 从LocalMachine证书存储区读取证书时，运行Broker的账号默认没有私钥读取权限，会导致证书静默加载失败
• 服务启动方法使用async void修饰，所有启动阶段的异常（比如证书加载失败、端口占用）都会被吞掉，不会抛出任何错误提示，很难排查问题

1. 调整服务启动逻辑 #

首先将Preform方法的返回值从async void改为async Task，保证异常可以正常抛出，同时替换MQTT服务配置：

private static async Task Preform()
{
    // 启动前先校验证书是否加载成功
    var serverCertificate = getCerticate();
    if (serverCertificate == null)
    {
        WriteLine("启动失败：未找到匹配的服务端SSL证书");
        return;
    }

    var option = new MqttServerOptionsBuilder()
        // 如果需要同时保留1883明文端口，注释下面这行即可
        .WithoutDefaultEndpoint()
        // 显式开启SSL加密端点，使用MQTT over SSL标准端口8883
        .WithEncryptedEndpoint()
        .WithEncryptedEndpointPort(8883)
        // 显式指定兼容的TLS版本，不要使用Default配置
        .WithEncryptionSslProtocol(System.Security.Authentication.SslProtocols.Tls12 | System.Security.Authentication.SslProtocols.Tls13)
        .WithEncryptionCertificate(serverCertificate)
        .WithApplicationMessageInterceptor(OnNewMessage)
        .Build();

    var mqttServer = new MqttFactory().CreateMqttServer();
    await mqttServer.StartAsync(option);
    WriteLine("MQTT Broker启动完成，SSL加密监听端口：8883");
}

Main方法里的调用逻辑不需要改动，Task.Wait()可以正常捕获Task返回类型方法的异常。

2. 修复证书权限问题 #

• 开发测试场景：直接把证书存储位置从LocalMachine改为CurrentUser，不需要手动配置私钥权限，修改证书路径字符串即可：

  string stCertif = "My|CurrentUser|6e962264e173a3d3782891abc48a9b66dae88931";
  

• 生产环境场景：如果必须使用LocalMachine存储区，打开证书管理器找到对应证书，右键→所有任务→管理私钥，给运行Broker进程的账号（如NETWORK SERVICE、当前登录用户）授予读取权限。

使用MQTTX连接时确认以下配置：

• 连接地址必须和服务端证书的CN（使用者名称）完全一致：比如证书CN是localhost就不要填127.0.0.1，否则会触发SSL域名校验失败
• 端口填写8883，不要填明文端口1883
• 开启SSL/TLS开关，选择CA signed server模式
• 如果使用自签名证书测试，勾选「忽略不受信任的证书」选项，同时将签发服务端证书的CA根证书导入MQTTX的SSL配置中
• 没有配置客户端证书校验逻辑前，不要开启MQTTX的客户端证书认证选项

内容的提问来源于stack exchange，提问作者Ronan65