## 操作场景云原生消息引擎MQTT版是一款基于EMQx企业版构建的MQTT服务。可以为物联网（IoT）应用提供可靠的实时消息传输和设备连接解决方案。当云原生消息引擎MQTT版需要TLS证书认证时，若由其的后端服务器直接处理，会显著增加其负载并导致证书管理困难。而NLB可承接证书认证工作，不仅能为后端服务器降低负载，还方便统一管理证书。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_0e64d659d2a1daf6861a9bffee651922.png =754x) :::tip 客户端访问请求的源IP地址经过NLB时，会被替换成NLB的IP地址，由于当前MQTT还未支持Proxy\-Protocol协议，故暂时无法获取客户端真实的IP地址。 ::: ## 准备工作 1. 创建私有证书。操作请参考[私有CA快速入门](https://www.volcengine.com/docs/6638/198066)。 2. 下载并安装 [MQTTX](https://mqttx.app/zh)，详细操作请参考 [MQTTX 官方安装文档](https://mqttx.app/zh/docs/downloading-and-installation)。 ## 操作步骤 ### 步骤一：配置MQTT实例 #### （一）创建MQTT实例 1. 登录[云原生消息引擎控制台](https://console.volcengine.com/bmq)。 2. 在顶部菜单栏，选择目标项目和地域。 3. 在左侧导航树，选择**MQTT 实例**，单击**创建实例**按钮。 4. 参考下表，配置相关参数。 |**参数** |**说明** |**取值示例** | |---|---|---| |**基本信息** ||| |计费类型 |选择实例计费的类型。 |按量计费 | |实例名称 |输入实例名称。 |mqtt\-01 | |地域及可用区 |地域已选定，不可更改。根据业务详情选择可用区。 |华南1（广州）可用区A | |所属项目 |选择实例所属项目。 |default(默认项目) | |**实例配置** ||| |计算规格 |根据业务场景预估最大连接数和 TPS，然后选择适合的实例规格。 |mqtt.2k | |**网络配置** ||| |私有网络 |**确保MQTT实例与NLB在同一VPC。** |vpc01 | |子网 |选择子网。 |subnet01 | |安全组 |下拉选择安全组。 |Default | 5. 单击**下一步：确认订单**。 6. 根据控制台指引查阅并确认相关协议。 7. 单击**提交**按钮。 8. 单击**去控制台**，查看实例创建进度。提交购买订单后，您可以返回 MQTT 实例列表页面。购买的实例显示为**初始化中**，初始化完成后显示为**运行中**。 #### （二）创建用户 1. 单击新创建的MQTT实例名称。 2. 在**用户管理**页签，单击**创建用户**按钮。 3. 参考下表，配置相关参数。 |**参数** |**说明** |**取值示例** | |---|---|---| |用户名 |输入用户名称。 |user01 | |角色 |为用户选择关联的角色。|管理员|\ | || |\ | |* 管理员：拥有 Dashboard 所有功能和资源的完全管理权限。| |\ | |* 查看者：只能以只读的方式访问 Dashboard 的数据和配置信息。 | | |密码 |自定义设置用户密码。|User@123 |\ | || |\ | |* 至少包含大写字母、小写字母、数字、特殊字符（!@#$%^&\*()_+\-=）中的 3 种。| |\ | |* 长度为 8~32 个字符。 | | |描述 |输入描述。 |NLB\-MQTT | 4. 单击**确定**，完成操作。 #### （三）登录Dashboard 1. 在**实例详情**页签，单击 Dashboard 地址。 2. 输入用户名和密码，单击**登录**按钮。 #### （四）获取MQTT监听器的IP地址在**监听器**页签，即可获取MQTT实例**TCP监听器**的私网IP地址。本文以192.168.1.10为例。 ### 步骤二：配置NLB实例 #### （一）创建NLB实例 1. 登录[NLB控制台](https://console.volcengine.com/nlb/LoadBalancer)。 2. 在顶部导航栏，选择目标项目和地域。 3. 单击**创建网络型负载均衡**按钮。 4. 参考下表，配置相关参数。 |参数 |说明 |取值示例 | |---|---|---| |**基本信息** ||| |地域 |选择NLB实例所属的地域。 |华北2（北京） | |名称 |输入NLB实例的名称。 |nlb\-01 | |**网络配置** ||| |IP版本 |选择NLB实例的私网IP地址类型。 |IPv4 | |网络类型（IPv4） |选择NLB实例IPv4地址的网络类型。 |公网 | |私有网络 |选择NLB实例所属的私有网络。您可以选择当前账号在指定地域下的所有VPC，不包括共享VPC。 |vpc01 | |可用区及子网 |选择NLB实例支持的可用区，并为每个可用区指定子网、IP地址及公网IP。|* 可用区A|\ | |NLB默认支持可用区多活容灾，至少需选择2个可用区。如果业务可靠性要求较高，您也可以按需选择2个以上的可用区。| * subnet01 \| 192.168.3.0/24|\ | || * 自动分配IP|\ | |* **子网**：为NLB实例提供私网部署环境，系统会自动在该子网内创建一张网卡与NLB关联。| * 新购公网IP|\ | |* **IPv4地址**：选择NLB实例IPv4地址的分配方式。实例创建后，所有分配的IPv4地址均不支持修改。|* 可用区B|\ | | * **自动分配IP**：系统自动为NLB关联的网卡分配3个私网IPv4地址，包括 1 个VIP和 2 个LIP。| * subnet02 \| 192.168.4.0/24|\ | | * **手动分配IP**：请手动输入子网范围内的IPv4地址。输入的IPv4地址作为NLB关联网卡的 VIP，系统还会自动分配 2 个LIP。| * 自动分配IP|\ | |* **公网IP**：为NLB实例提供公网能力。仅当网络类型（IPv4）为**公网**时需要配置该参数。| * 新购公网IP |\ | | * **新购公网IP**：该公网IP随NLB实例一同创建，默认为按实际流量计费，线路类型为BGP（多线），带宽上限为200Mbps。 | | |安全组 |选择NLB实例关联的安全组，请至少选择一个。 |Default | 5. 根据控制台指引查阅并确认相关协议。 6. 单击**立即购买**按钮，完成实例创建。 7. 单击**去控制台**按钮，查看新创建的实例。 #### （二）配置服务器组 1. 登录[NLB控制台](https://console.volcengine.com/nlb/LoadBalancer)。 2. 在左侧导航树，选择**服务器组**。 3. 在顶部导航栏，选择目标项目和地域。 4. 在左侧导航栏选择**服务器组**。 5. 单击**创建服务器组**按钮，参考下表配置服务器组的基本信息。 |参数 |说明 |取值示例 | |---|---|---| |名称 |输入服务器组的名称。 |rsp01 | |服务器组类型 |选择服务器组的类型。本示例**选择IP类型。** |**IP类型** | |IP版本 |后端服务器私网IP地址的协议类型。 |IPv4 | |私有网络 |选择服务器组所属的私有网络，需要与NLB实例所属VPC保持一致。 |vpc01 | |后端协议 |NLB实例转发流量到后端服务器时使用的通信协议。 |TCP | |调度算法 |选择转发请求至后端服务器遵循的算法。 |加权轮询（WRR） | |会话保持 |是否开启会话保持。|关闭 |\ | || |\ | |* 开启后，NLB会将来自相同源IP地址的访问请求转发到同一台后端服务器进行处理。| |\ | |* **会话保持超时时间**的取值范围为 1～3600秒。 | | |连接优雅中断 |是否开启连接优雅中断。|关闭 |\ | || |\ | |* 开启后，当后端服务器被删除或健康检查异常时，现有连接在连接优雅中断超时时间内能够正常传输。| |\ | |* **连接优雅中断超时时间**的取值范围为 0～900秒。 | | |客户端地址保持 |是否开启客户端地址保持。|开启 |\ | |开启后，NLB实例会携带客户端源IP地址转发请求至服务器组，后端服务器无需额外设置即可获取客户端源IP。服务器组创建后，您可以在详情页查看该信息。| |\ | |:::tip| |\ | |以下场景客户端地址保持功能不可用，您可以通过Proxy\-Protocol协议获取源IP：| |\ | || |\ | |* 客户端请求与服务器组的IP版本不同时，开启客户端地址保持不生效。| |\ | |* 服务器组类型为**IP类型**时，不支持开启。| |\ | || |\ | |:::| | |Proxy\-Protocol协议 |不支持开启Proxy\-Protocol协议。**客户端访问请求的源IP地址经过NLB时，会被替换成NLB的IP地址，由于当前MQTT还未支持Proxy\-Protocol协议，故暂时无法获取客户端真实的IP地址。若开启，则会导致流量不通。** |关闭 | |全端口转发 |服务器组中各后端服务器的服务端口均与监听端口相同时，可以开启全端口转发。|关闭 |\ | |开启后，该服务器组仅支持关联已开启全端口监听的监听器，且组内后端服务器无需指定端口，NLB默认按照前端请求端口（即监听端口）转发流量至后端服务器。 | | 6. 参考下表，配置健康检查信息。 |参数 |说明 |取值示例 | |---|---|---| |健康检查 |选择是否打开健康检查功能的开关。打开后，NLB能判断后端服务器状态是否正常，避免将请求转发至状态异常的后端服务器，保障服务的可用性。|开启 |\ | |:::tip| |\ | || |\ | |* 关闭健康检查可能会导致请求被转发给异常的后端服务器，为了保障业务的持续可用，不建议关闭健康检查。| |\ | |* 健康检查会占用一定的网络资源，建议您结合业务情况，通过降低健康检查频率、增大健康检查间隔等方式降低对业务的影响。| |\ | || |\ | |:::| | |健康检查协议 |健康检查请求的协议类型。|TCP |\ | || |\ | |* **TCP**：发送SYN握手报文，以此检测后端服务器端口的状态是否正常。| |\ | |* **HTTP**：发送HEAD或GET请求模拟浏览访问行为，以此检测后端服务器应用是否正常。HTTP协议特有的参数如下：| |\ | | * **健康检查方法**：选择对后端服务器进行健康检查的请求方法。| |\ | | * **GET**：GET请求得到的响应同时返回响应头部和响应正文信息，要求服务器支持GET方法。| |\ | | * **HEAD**：HEAD请求得到的响应仅返回响应头部信息，可以降低后端开销，要求服务器支持HEAD方法。| |\ | | * **健康检查域名**：输入健康检查的请求域名，需配置为后端服务器上真实对外提供服务的地址。如不填写，则默认使用后端服务器的私网IP地址。| |\ | | * **健康检查路径**：输入健康检查的请求路径URL，需配置为后端服务器上真实对外提供服务的地址。如不填写，则默认为`/`。| |\ | | * **健康状态码**：配置响应码，若收到选中类型的响应码，则表明该服务器为正常可用状态。| |\ | || |\ | |[了解更多](https://www.volcengine.com/docs/6406/1536957)| |\ | |:::tip| |\ | |服务器组的后端协议为TCP时，健康检查不支持UDP协议。| |\ | || |\ | |:::| | |健康检查端口 |配置用于健康检查的端口。|使用后端服务器端口 |\ | || |\ | |* **使用后端服务器端口**：默认使用后端服务器的端口进行健康检查，无需额外指定。| |\ | |* **指定特定端口**：全端口转发功能开启时，只能选择该选项。端口的取值范围为 1～65535。 | | |响应超时 |配置等待健康检查响应的时间。|3秒 |\ | || |\ | |* 若在响应超时时间内未收到后端服务器返回的正确信息，则表明健康检查异常。| |\ | |* 取值范围为1～60秒。默认超时时间为3秒。 | | |检测间隔 |输入执行健康检查的时间间隔。|10秒 |\ | || |\ | |* 检测间隔时间必须大于等于响应超时时间。| |\ | |* 取值范围为3～300秒。默认间隔为10秒，指每10s对后端服务器进行一次健康检查。 | | |健康阈值 |开启健康健康后，输入判断后端服务器正常的健康检查次数。|3次 |\ | || |\ | |* 对同一后端服务器连续执行指定次数的健康检查，结果均为**正常**时，其健康检查状态由**异常**变为**正常**。| |\ | |* 取值范围：2～10次。默认为3次。 | | |不健康阈值 |开启健康健康后，输入判断后端服务器异常的健康检查次数。|3次 |\ | || |\ | |* 对同一后端服务器连续执行指定次数的健康检查，结果均为**异常**时，其健康检查状态由**正常**变为**异常**。| |\ | |* 取值范围：2～10次。默认为3次。 | | 7. 单击**确定**按钮，完成创建。 #### （三）添加MQTT监听器的IP地址 1. 登录[NLB控制台](https://console.volcengine.com/nlb/LoadBalancer)。 2. 在左侧导航树，选择**服务器组**。 3. 单击服务器组rsp\-01的名称。 4. 在**服务器页**签，单击**添加服务器**按钮。 5. 参考下表，配置相关参数。 |参数 |说明 |取值 | |---|---|---| |IP地址 |输入MQTT实例网卡的IP地址。获取方式请参考前文**获取MQTT监听器的IP地址。** |192.168.1.10 | |端口 |输入MQTT实例**TCP**监听器的端口**1883**。 |1883 | |权重 |输入MQTT的权重。 |100 | 6. 单击**确定**按钮，完成操作。 #### （四）添加监听器 1. 登录[NLB控制台](https://console.volcengine.com/nlb/LoadBalancer)。 2. 在顶部导航栏，选择目标项目和地域。 3. 单击目标NLB实例右侧的**配置监听器**按钮。 4. 单击**添加监听器**按钮，参考下表，配置相关参数。 |参数 |说明 |取值示例 | |---|---|---| |监听器名称 |输入监听器的名称。不填则默认为**协议\-端口** ，如**TLS\-443**。 |listener01 | |监听协议 |选择NLB实例监听器的协议类型。本操作选择TLS。[了解更多](https://www.volcengine.com/docs/6406/1264660#.55uR5ZCs5Y2P6K6u57G75Z6L) |TLS | |监听端口 |输入监听的端口。范围为1～65535。 |443 | |超时时间 |设置超时时间。若连接在超时时间内没有数据传输，将自动关闭。|900秒 |\ | |TLS监听器的超时时间取值范围为10～900秒，默认为900秒。 | | 5. 单击**下一步**按钮，配置SSL证书。 |参数 |说明 |取值示例 | |---|---|---| |证书来源 |选择证书来源。|火山引擎证书中心SSL证书 |\ | || |\ | |* 火山引擎证书中心SSL证书。本文以SSL证书为例。| |\ | |* 火山引擎证书中心私有证书。| |\ | || |\ | |> 私有CA的证书支持作为服务器证书的功能正在邀测中，如需试用，请联系客户经理。 | | |服务器证书 | 下拉选择服务器证书。您可在证书中心购买或上传服务器证书，NLB从证书中心获取该证书并使用。|certificate\-xx |\ | |:::tip| |\ | |NLB不对服务器证书的完整性进行校验，该校验由证书中心进行。未进行完整性校验的证书可能存在安全风险，请您仔细评估后操作。 [了解更多](https://www.volcengine.com/docs/6638/118039)| |\ | || |\ | |:::| | |双向认证|选择是否开启双向认证。双向验证指除了客户端需要验证服务器的合法性外，服务器还需要验证客户端的合法性。本文选择**开启。** |**开启**|\ | | | | |CA证书来源 |选择CA证书的来源。 |私有子CA | |CA证书 |根据CA证书来源选择CA证书。 |xx\-certificate\-xx | |TLS安全策略 |选择策略。 |系统默认策略|\ | | |tls_cipher_policy_1_2_strict | 6. 单击**下一步**按钮，选择**TCP协议的服务器组**。 7. 单击**下一步**按钮，确认配置信息。 8. 单击**确定**按钮，完成操作。 #### （五）配置网络ACL和安全组 * **NLB实例关联的安全组和网络ACL** 安全组配置示例： |规则方向 |优先级 |策略 |协议类型 |端口范围 |源地址/目的地址 |描述 | |---|---|---|---|---|---|---| |入方向 |1 |允许 |监听协议：TCP |监听端口：443 |客户端地址：0.0.0.0/0 |放通客户端发送到NLB的访问流量 | |^^|1 |允许 |ICMP |ALL |100.64.0.0/10 |放通探测NLB实例私网IPv4地址可用性的流量 | |^^|1 |拒绝 |TCP |443 |不允许访问NLB的IP地址 |拒绝指定的IP地址访问NLB | |出方向 |100 |允许 |ALL |ALL |0.0.0.0/0 |全允许的兜底策略 | 网络ACL配置示例（若NLB所在子网均未关联网络ACL，则不需要为其配置网络ACL，故可以忽略本示例）： |规则方向 |优先级 |策略 |协议 |源地址/目的地址 |目的端口 |描述 | |---|---|---|---|---|---|---| |入方向 |1 |允许 |监听协议：TCP |0.0.0.0/0 |监听端口|放通客户端发送到NLB的访问流量 |\ | | | | | |（443） | | |^^|2 |允许 |监听协议和健康检查协议|MQTT实例TCP监听器私网IP地址（192.168.1.10） |MQTT实例TCP监听器端口和健康检查端口（均为1883） |放通MQTT返回给NLB的健康检查响应流量、放通MQTT返回给NLB的客户端响应流量 |\ | | | |：均为TCP | | | | |^^|3 |允许 |ICMP |100.64.0.0/10 |ALL |放通系统探测NLB私网IPv4地址可用性的流量 | |出方向 |1 |允许 |ALL |0.0.0.0/0 |ALL |放通全部IPv4流量 | * **MQTT关联的安全组和网络ACL** **安全组和网络ACL不对MQTT实例网卡的流量进行校验，默认放通。** ### 步骤三：自有域名解析至NLB域名火山引擎不允许用户**直接**使用NLB服务提供的默认域名进行**公网**访问。若需通过NLB实例向公网提供服务，请使用自有域名CNAME解析到NLB域名。若无自有域名，请参见[域名服务](https://www.volcengine.com/docs/6568/128970)。 :::tip 本文以在火山引擎 DNS 服务中配置解析记录为例，如果您使用其他平台管理业务域名，请在对应的平台中配置解析记录。 ::: 1. 登录 [云解析 DNS 控制台](https://console.volcengine.com/TrafficRoute/dns/public-zone)。 2. 参考[添加CNAME记录](https://www.volcengine.com/docs/6758/1184039#%E6%B7%BB%E5%8A%A0%E4%B8%80%E6%9D%A1-cname-%E8%AE%B0%E5%BD%95)将您的业务域名解析至NLB实例的域名，并验证配置是否生效。参数说明如下表所示。 |参数 |描述 | |---|---| |域名 |设置为您业务域名的主机记录（域名前缀）。例如：`www`。 | |记录类型 |设置为 **CNAME**。 | |记录值 |设置为 NLB 实例的域名，本文中为 `nlb-2fe5ahfkoi9s059gp683y****.cn-guangzhou.nlb.volces.com`。 | |:::tip||\ |上表中未介绍的参数请保持默认值。| |\ || |\ |:::| | ## 验证 ### （一）下载证书 * **下载私有证书** 1. 登录[私有证书控制台](https://console.volcengine.com/certificate-center/pca/cert)。 2. 单击目标私有证书右侧的**下载**按钮，选择存在本地的目录。 3. 单击**存储**按钮 **，** 下载完成。该私有证书为压缩包，请使用解压工具将其解压，得到certificate_chain.pem、certificate.pem、private_key.key三个文件。 * **下载SSL证书根证书** * [登录SSL证书控制台](https://console.volcengine.com/certificate-center/ssl/certificate?showUploadCertDrawer=false) * 单击目标SSL证书右侧的**下载**按钮。 * 单击**根证书下载**右侧的**下载**按钮，选择存在本地的目录。 * 单击**存储**按钮 **，** 下载完成。 ### （二）配置MQTTx 1. 打开MQTTx。 2. 单击 **New Connection** 按钮。 3. 参考下表，输入相关参数。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_5b37edf1751a028d0f692bc89b14b162.png =878x) |参数 |说明 |取值示例 | |---|---|---| |Name |输入连接的名称。 |NLB\-MQTT | |Host |选择mqtts，输入已经解析到NLB的业务域名。 |mqtts://www.example.com | |Port |输入NLB实例TLS监听器的监听端口。 |443 | |Certificate |证书选择CA or Self signed certificates。 |CA or Self signed certificates | |CA File |选择服务器证书根证书。 |example.com_root.crt | |Client Certificate File |选择客户端证书。本文选择certificate.pem。 |certificate.pem | |Client key file |选择证书私钥。本文private_key.key。 |private_key.key | 4. 其余参数保持默认值，单击**Connet ** 按钮，显示Connected，表示连接成功。 ### （三）查看dashboard 1. 登录[MQTT控制台](https://console.volcengine.com/bmq/region:bmq+cn-guangzhou/mqtt/instance)。 2. 单击目标MQTT实例名称。 3. 在**实例详情**页签，单击Dashboard 地址下的网址。 4. 输入用户名和密码，即可查看连接详情。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_2e9108b27b2c54cef2c041c046c8eca7.png =880x)