Instalace MQTT serveru Mosquitto na Linux

Ve většině distribucí Linuxu je Mosquitto součástí standardních repozitářů. Mělo by tedy stačit nainstalovat balíčky mosquitto a mosquitto-clients:

sudo apt-get install mosquitto mosquitto-clients -y

Mosquitto nyní běží s výchozími nastaveními. Máte k dispozici utility mosquitto_pub a mosquitto_sub, které slouží jako publisher a subscriber.

Následujícím příkazem spusťte subcriber tak, že bude naslouchat na topicu test:

mosquitto_sub -h localhost -t test &

Znak & na konci příkazu znamená, že proces má běžet na pozadí a tedy nemá blokovat interaktivní konzoli. Příkaz vypsal něco jako:

[1] 12345

To druhé číslo (zde 12345) je PID, číselný identifikátor procesu. Poznamenejte si ho, budete ho později potřebovat k jeho ukončení.

Následujícím příkazem pošlete pomocí publishera zprávu Hello, world! do topicu test:

mosquitto_pub -h localhost -t test -m "Hello, world!"

Zpráva bude vypsána na konzoli. Vypsal ji tam proces mosquitto_sub.

Pomocí kill můžete ukončit subscribera běžícího na pozadí. Použijte k tomu PID zjištěné v kroku 3.

kill 12345

Pomocí ps si můžete ověřit, že proces subscribera neběží.

V tomto návodu budeme pracovat s porty 1883 (MQTT), 8883 (šifrované MQTTS), 8884 (MQTT over WebSockets). Zpřístupněte tyto porty na firewallu. Pomocí UFW tak můžete učinit následujícími příkazy:

sudo ufw allow 1883/tcp
sudo ufw allow 8883/tcp
sudo ufw allow 8884/tcp
sudo ufw reload

Abyste mohli používat Mosquitto s TLS (ať už přímo nebo přes WebSockets), musíte mít certifikát vydané důvěryhodnou certifikační autoritou.

Pokud takový certifikát máte, musíte ho zpřístupnit Mosquittu, například tak, že vytvoříte následující soubory:

• /etc/mosquitto/certs/cert.pem - vlastní certifikát,
• /etc/mosquitto/certs/privkey.pem - privátní klíč k certifikátu,
• /etc/mosquitto/certs/chain.pem - certifikát CA a mezilehlých autorit.

Následující postup předpokládá, že máte certifikáty získané od Let's Encrypt CA pomocí utility Certbot. Pokud máte certifikáty získané jinak, např. od vlastní CA, nakopírujte je na výše uvedené cesty a pokračujte krokem 16.

Vytvořte soubor /usr/local/sbin/copy-to-mosquitto.sh, který bude obsahovat příkazy pro zkopírování souborů a nastavení práv:

sudo nano /usr/local/sbin/copy-to-mosquitto.sh

Zadejte do souboru následující příkazy (místo mqtt.ztech.cz zadejte název vašeho certifikátu):

cp /etc/letsencrypt/live/mqtt.ztech.cz/cert.pem /etc/mosquitto/certs/
cp /etc/letsencrypt/live/mqtt.ztech.cz/privkey.pem /etc/mosquitto/certs/
cp /etc/letsencrypt/live/mqtt.ztech.cz/chain.pem /etc/mosquitto/certs/
chown mosquitto:mosquitto /etc/mosquitto/certs/*.pem

Stiskem Ctrl+S uložte soubor a Ctrl+X ukončete editor.

Následujícím příkazem nastavte soubor jako spustitelný:

sudo chmod +x /usr/local/sbin/copy-to-mosquitto.sh

Následujícím příkazem (místo mqtt.ztech.cz zadejte název vašeho certifikátu) nastavíte, že se má po vydání nového certifikátu shora uvedený soubor spustit (a zároveň ho spustíte ihned):

sudo certbot reconfigure --cert-name mqtt.ztech.cz \
                         --deploy-hook "/usr/local/sbin/copy-to-mosquitto.sh" \
                         --run-deploy-hooks

Následujícím příkazem si zkontrolujte, že vše v pořádku proběhlo:

sudo ls -la /etc/mosquitto/certs/

Měli byste vidět něco jako:

drwxr-xr-x 2 root      root      4096 Jun 28 21:41 .
drwxr-xr-x 5 root      root      4096 Jun 28 18:22 ..
-rw-r-xr-- 1 mosquitto mosquitto 1302 Jun 28 21:41 cert.pem
-rw-r-xr-- 1 mosquitto mosquitto 1566 Jun 28 21:41 chain.pem
-rw-r-x--- 1 mosquitto mosquitto  241 Jun 28 21:41 privkey.pem
-rw-r--r-- 1 root      root       130 Sep 30  2023 README

Následujícím příkazem vytvořte konfigurační soubor Mosquitta:

sudo nano /etc/mosquitto/conf.d/default.conf

Zadejte do něj následující obsah (upravte cestu k certifikátům a privátnímu klíči dle potřeby). Za textem v posledním řádku (keyfile...) stiskněte Enter - musí tam být zalomení řádku. Pokud tomu tak není, bude ho Mosquitto ignorovat.

allow_anonymous true

# Non-secure listener
listener 1883

# TLS-enabled listener
listener 8883
certfile /etc/mosquitto/certs/cert.pem
cafile /etc/mosquitto/certs/chain.pem
keyfile /etc/mosquitto/certs/privkey.pem

Stiskem Ctrl+S uložte soubor a Ctrl+X ukončete editor.

Následujícím příkazem Mosquitto restartujete

sudo systemctl restart mosquitto

Že vše funguje si můžete ověřit podobně jako v kroku 2. Místo mqtt.ztech.cz zadejte název vašeho serveru.

Příkaz pro spuštění subscribera na pozadí je:

mosquitto_sub -h mqtt.ztech.cz -p 8883 --capath /etc/ssl/certs \
              -t test &

Příkaz pro zaslání zprávy do topicu test je:

mosquitto_pub -h mqtt.ztech.cz -p 8883 --capath /etc/ssl/certs \
              -t test -m "Hello, world!"

Následujícím příkazem otevřete k editaci konfigurační soubor Mosquitta:

sudo nano /etc/mosquitto/conf.d/default.conf

Přidejte do něj následující konfiguraci (a nezapomeňte na prázdný řádek na konci souboru):

allow_anonymous true

# Non-secure listener
listener 1883

# TLS-enabled listener
listener 8883
certfile /etc/mosquitto/certs/cert.pem
cafile /etc/mosquitto/certs/chain.pem
keyfile /etc/mosquitto/certs/privkey.pem

# WebSockets+TLS listener
listener 8884
protocol websockets
certfile /etc/mosquitto/certs/cert.pem
cafile /etc/mosquitto/certs/chain.pem
keyfile /etc/mosquitto/certs/privkey.pem

Stiskem Ctrl+S uložte soubor a Ctrl+X ukončete editor.

Následujícím příkazem Mosquitto restartujte, aby se projevila změna konfigurace:

sudo systemctl restart mosquitto

Že vše funguje přes WebSockets si můžete ověřit např. z webového klienta od HiveMQ.