Установка брокера сообщений Mosquitto в CentOS 7
Centos | Комментировать запись
MQTT – это легковесный протокол сообщений, предназначенный для общения между устройствами (machine-to-machine) интернета вещей. Он используется для отслеживания перемещения транспортных средств, домашней автоматизации и сбора данных.
Mosquitto – это популярный MQTT-сервер (или брокер). Он прост в установке и настройке и активно поддерживается сообществом.
Данное руководство поможет установить Mosquitto, получить для него сертификат SSL от сервиса Let’s Encrypt и настроить безопасное взаимодействие устройств по MQTT.
Требования
- Сервер CentOS 7 (читайте руководство по начальной настройке сервера).
- Пользователь с доступом к команде sudo.
- Доменное имя (в руководстве используется условный домен mqtt.example.com).
- Текстовый редактор (например, nano). Чтобы установить nano, введите:
sudo yum -y install nano
1: Установка Mosquitto
Официальный репозиторий CentOS 7 не предоставляет пакета mosquitto. Найти этот пакет можно в репозитории EPEL (Extra Packages for Enterprise Linux).
Войдите в сессию пользователя с доступом к sudo и установите пакет epel-release.
sudo yum -y install epel-release
Опция –y автоматически подтверждает запросы. Теперь можно установить пакет mosquitto.
sudo yum -y install mosquitto
Пакет предоставляет простые базовые настройки. Запустите его:
sudo systemctl start mosquitto
Включите сервис mosquitto, чтобы автоматизировать запуск программы:
sudo systemctl enable mosquitto
Теперь нужно проверить настройки по умолчанию. Пакет mosquitto поставляется с MQTT-клиентами командной строки. Используйте один из них, чтобы подписаться на тему.
Темы – это метки, которые присваиваются опубликованным заметкам. Они расположены в виде иерархии (например, sensors/outside/temp или sensors/outside/humidity). Упорядочивание тем полностью зависит от ваших потребностей.
Откройте ещё одну сессию терминала, в результате у вас должно быть два терминала. Запустите в новом терминале команду mosquitto_sub, чтобы подписаться:
mosquitto_sub -h localhost -t test
Флаг –h указывает имя хоста сервера MQTT, -t – тему. После запуска команды на экране не появится вывода, поскольку команда mosquitto_sub ждет получения сообщений. Вернитесь в первый терминал и опубликуйте сообщение:
mosquitto_pub -h localhost -t test -m "hello world"
Команда mosquitto_pub использует те же опции, что и mosquitto_sub, однако в этот раз используется дополнительный флаг –m (он позволяет ввести текст сообщения). Нажмите Enter, и вы увидите в другом терминале MQTT-сообщение hello world.
Введите во втором терминале CTRL+C, чтобы остановить mosquitto_sub, но не прерывайте подключения к серверу (оно понадобится позже).
Теперь нужно защитить трафик с помощью SSL-сертификата. Используйте Certbot, новый клиент Let’s Encrypt.
2: Установка Certbot
Let’s Encrypt – это новый сервис, предоставляющий бесплатные SSL-сертификаты при помощи автоматического API. Для взаимодействия с API существует несколько клиентов. Официальный клиент можно найти в репозитории EPEL.
Установите Certbot:
sudo yum -y install certbot
Чтобы подтвердить права на домен, Certbot должен пройти криптографический тест интерфейса Let’s Encrypt. Для этого используются порты 80 (HTTP) и/или 443 (HTTPS). В руководстве используется только порт 80. Разблокируйте его в брандмауэре.
sudo firewall-cmd --permanent --add-service=http
Перезапустите брандмауэр:
sudo firewall-cmd --reload
Теперь можно запустить Certbot, чтобы получить сертификат. Используйте опцию –standalone, чтобы Certbot самостоятельно обрабатывал тестовый запрос HTTP. Опция –standalone-supported-challenges http-01 ограничивает взаимодействие с интерфейсом портом 80. Опция -d позволяет указать домен, для которого предназначен сертификат, а certonly извлекает сертификат.
sudo certbot certonly --standalone --standalone-supported-challenges http-01 -d mqtt.example.com
После запуска команды будет предложено указать адрес электронной почты и принять условия предоставления услуг. На экране появится сообщение, указывающее, где хранятся сертификаты.
Итак, сертификаты получены, и теперь нужно настроить их автоматическое обновление.
3: Автоматическое обновление сертификата
Сертификаты Let’s Encrypt действительны в течение 90 дней. По истечении этого срока пользователь должен обновить сертификат. Вы можете настроить автоматическое обновление сертификатов.
Чтобы ежедневно запускать команду для проверки и обновления сертификата, используйте cron. Откройте crontab в редакторе:
sudo EDITOR=nano crontab -e
Опция EDITOR=nano откроет файл crontab в редакторе nano. Если вы хотите открыть его в vi, пропустите эту опцию.
На экране появится crontab по умолчанию. Вставьте следующую строку в конец файла, а затем сохраните и закройте его:
15 3 * * * certbot renew --noninteractive --post-hook "systemctl restart mosquitto"
Часть строки «15 3 * * *» значит, что команду нужно запускать в 3:15 утра каждый день. Команда renew будет проверять все существующие сертификаты и обновлять их по мере необходимости (если до окончания срока действия остается меньше 30 дней). Флаг –noninteractive запускает процесс в немом режиме.
Флаг –post-hook “systemctl restart mosquitto” перезапустит Mosquitto, чтобы загрузить новый сертификат (только если сертификат был обновлен).
4: Настройка пароля MQTT
Теперь настройте пароль для Mosquitto.
Mosquitto предоставляет утилиту mosquitto_passwd для генерирования файла паролей. Эта команда предложит ввести пароль для указанного пользователя и поместит результат в /etc/mosquitto/passwd.
sudo mosquitto_passwd -c /etc/mosquitto/passwd 8host
Удалите файл mosquitto.conf.
sudo rm /etc/mosquitto/mosquitto.conf
Создайте новый конфигурационный файл Mosquitto и добавьте в него информацию о новом файле паролей.
sudo nano /etc/mosquitto/mosquitto.conf
Вставьте в файл:
allow_anonymous false
password_file /etc/mosquitto/passwd
Строка allow_anonymous false блокирует доступ анонимных пользователей. Строка password_file указывает путь к файлу паролей. Сохраните и закройте файл.
Перезапустите Mosquitto:
sudo systemctl restart mosquitto
Теперь нужно протестировать новые настройки. Попробуйте опубликовать сообщение без пароля:
mosquitto_pub -h localhost -t "test" -m "hello world"
Вы получите ошибку:
Connection Refused: not authorised.
Error: The connection was refused.
Перейдите во второй терминал и подпишитесь на тему test.
mosquitto_sub -h localhost -t test -u "8host" -P "password"
Оставьте этот терминал открытым до конца руководства, чтобы периодически отправлять в него тестовые сообщения.
Вернитесь в первый терминал и опубликуйте сообщение:
mosquitto_pub -h localhost -t "test" -m "hello world" -u "8host" -P "password"
Сообщение должно появиться во втором терминале. Если это так, то настройка пароля Mosquitto прошла успешно.
Пока что пароли передаются в незашифрованном виде. Чтобы исправить это, нужно настроить Mosquitto для поддержки SSL-шифрования.
5: Настройка поддержки SSL
Чтобы настроить шифрование, нужно сообщить Mosquitto, где хранятся сертификаты Let’s Encrypt. Откройте конфигурационный файл:
sudo nano /etc/mosquitto/mosquitto.conf
В конец добавьте такие строки:
. . .
listener 1883 localhost
listener 8883
certfile /etc/letsencrypt/live/mqtt.example.com/cert.pem
cafile /etc/letsencrypt/live/mqtt.example.com/chain.pem
keyfile /etc/letsencrypt/live/mqtt.example.com/privkey.pem
Теперь файл содержит два отдельных блока listener. Первый, listener 1883 localhost, обновляет прослушиватель MQTT на порте 1883 (это стандартный нешифрованный порт MQTT). Часть строки localhost привязывает этот порт к интерфейсу локального хоста, потому к нему не будет внешнего доступа (в любом случае, внешние запросы заблокировал бы брандмауэр).
Строка listener 8883 настраивает зашифрованный прослушиватель на порт 8883. Это стандартный порт MQTT + SSL (также называется MQTTS). Следующие три строки, certfile, cafile и keyfile указывают Mosquitto путь к файлам сертификата Let’s Encrypt.
Сохраните и закройте файл.
Прежде чем перезапустить Mosquitto, нужно исправить кое-что в service-файле mosquitto по умолчанию. Откройте его в текстовом редакторе:
sudo nano /etc/systemd/system/multi-user.target.wants/mosquitto.service
Найдите строку User=mosquitto и удалите её, а затем сохраните и закройте файл.
Брокер Mosquitto всё равно будет запущен как пользователь mosquitto, но теперь при первом запуске у него будут права root и он сможет загрузить сертификат Let’s Encrypt (по причинам безопасности доступ к ним ограничен). После загрузки сертификатов права пользователя mosquitto будут восстановлены.
Перезапустите systemd.
sudo systemctl daemon-reload
Перезапустите Mosquitto:
sudo systemctl restart mosquitto
Откройте порт 8883 в брандмауэре.
sudo firewall-cmd --permanent --add-port=8883/tcp
Перезапустите брандмауэр:
sudo firewall-cmd –-reload
Создайте ещё одно тестовое сообщение с помощью mosquitto_pub, добавив несколько опций для SSL:
mosquitto_pub -h mqtt.example.com -t test -m "hello again" -p 8883 --cafile /etc/ssl/certs/ca-bundle.crt -u "8host" -P "password"
Обратите внимание: вместо localhost используется полное имя хоста. Поскольку сертификат SSL предназначен для домена (в данном случае для mqtt.example.com), при попытке подключиться к localhost вы получите ошибку: имя хоста не совпадает с именем хоста сертификата (несмотря на то, что оба они указывают на один сервер Mosquitto).
Опция –cafile /etc/ssl/certs/ca-bundle.crt включает SSL для mosquitto_pub и сообщает, где найти root сертификаты. Путь зависит от операционной системы. Команда mosquitto_pub проверяет подпись сертификата сервера Mosquitto. Команды mosquitto_pub и mosquitto_sub не смогут создать SSL-соединение без этой опции (или её аналога –capath) даже с помощью стандартного порта 8883.
Если настройка выполнена правильно, во втором терминале появится сообщение «hello again». MQTT-сервер полностью готов к работе.
6: Поддержка веб-сокетов (опционально)
Для взаимодействия с JavaScript в браузерах в протокол MQTT была добавлена поддержка стандартных веб-сокетов.
Чтобы включить эту функцию, нужно добавить ещё один блок listener в настройки Mosqiutto:
sudo nano /etc/mosquitto/conf.d/default.conf
Добавьте в конец файла:
. . .
listener 8083
protocol websockets
certfile /etc/letsencrypt/live/mqtt.example.com/cert.pem
cafile /etc/letsencrypt/live/mqtt.example.com/chain.pem
keyfile /etc/letsencrypt/live/mqtt.example.com/privkey.pem
Этот блок почти такой же, как предыдущие, он отличается только номером порта и строкой protocol websockets. У MQTT нет стандартного порта для поддержки веб-сокетов, но обычно для этого используется 8083.
Сохраните и закройте файл. Перезапустите Mosquitto:
sudo systemctl restart mosquitto
Откройте порт 8083 в брандмауэре и перезапустите его:
sudo firewall-cmd --permanent --add-port=8083/tcp
sudo firewall-cmd --reload
Чтобы протестировать эту настройку, используйте открытый MQTT-клиент для браузера (например, mqtt-admin). Откройте mqtt-admin в браузере.
На экране появится окно настроек.
Заполните предложенные поля:
- Protocol: wss (что значит websocket secure).
- Host: домен сервера Mosquitto (например, mqtt.example.com).
- Port: 8083.
- User: имя пользователя Mosquitto (в данном случае 8host).
- Password: пароль.
- ClientId: можно оставить по умолчанию (mqtt-admin).
Нажмите Save Settings, после чего mqtt-admin подключится к серверу Mosquitto. В следующем окне укажите:
- Topic: test
- Payload: введите любое сообщение
Нажмите Publish. Сообщение должно появиться в терминале mosquitto_sub.
Заключение
Сервер MQTT установлен, защищен паролем и готов к работе. SSL-сертификат Let’s Encrypt шифрует трафик и автоматически обновляется. Теперь у вас есть надёжная платформа для обмена сообщениями.
С протоколом MQTT хорошо работают следующие программы:
- OwnTracks – открытое приложение геолокации, которое можно установить на телефон. Полученные данные можно переносить на карту, на их основе можно создавать предупреждения и настроить запуск компонентов интернета вещей.
- Node-RED – графический веб-интерфейс для настройки интернета вещей. Инструмент позволяет перенаправлять вывод одной ноды на ввод другой, фильтровать данные, применять разные протоколы и базы данных и многое другое.
- ESP8266 – недорогой wifi микроконтроллер с поддержкой MQTT. С его помощью вы можете следить за температурой, атмосферным давлением и т.п.