基于Netty的MQTT Server实现并支持SSL
参考上文,上文完成了 MQTT Server 的基本功能，但是还差了 SSL 的功能。
一. 添加过程
以 Netty 为基础加上 SSL 功能比较简单，几行代码就可以
// 创建SSL上下文
if (option.isSsl()) {
sslContext = SslContextBuilder.forServer(
new File(option.getServerCertFile()),
new File(option.getKeyFile()))
.trustManager(new File(option.getCaCertFile())).build();
}
......
if(sslContext!=null) {
// 将SSL上下文添加到ChannelPipeline中
channelPipeline.addLast(sslContext.newHandler(ch.alloc()));
}
需要证书文件的提供，包括3个文件
/**
* CA证书文件，一般叫ca.crt
* 指令参考：openssl req -new -x509 -keyout ca.key -out ca.crt -days 36500
*/
private String caCertFile;
/**
* an X.509 certificate chain file in PEM format
* server证书文件，一般叫server.crt
* 指令参考：openssl x509 -req -days 36500 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt
* ，如果需要和域名或ip绑定需要加上 -extfile <(printf "subjectAltName=IP:127.0.0.1")
*/
private String serverCertFile;
/**
* a PKCS#8 private key file in PEM format
* 私钥文件，因为netty只支持pkcs8，所以需要2个步骤，第二个步骤改成pkcs8格式
* openssl genrsa -des3 -out server.key 1024
* openssl pkcs8 -topk8 -in server.key -out pkcs8_server.key -nocrypt
*/
private String keyFile;
二. 证书创建
主要参考 https://www.cnblogs.com/exmyth/p/14808872.html
1.生成ca证书
openssl req -new -x509 -keyout ca.key -out ca.crt -days 36500
在本目录得到 ca.key 和 ca.crt 文件
2.生成服务端和客户端私钥
openssl genrsa -des3 -out server.key 1024
openssl genrsa -des3 -out client.key 1024
3.根据 key 生成 csr 文件
openssl req -new -key server.key -out server.csr
openssl req -new -key client.key -out client.csr
4.根据 ca 证书 server.csr 和 client.csr 生成 x509 证书
openssl x509 -req -days 36500 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt
openssl x509 -req -days 36500 -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt
需要和ip绑定则加上参数,我都是在本地测试，所以设置ip为127.0.0.1
openssl x509 -req -days 36500 -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -extfile <(printf "subjectAltName=IP:127.0.0.1")
openssl x509 -req -days 36500 -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt -extfile <(printf "subjectAltName=IP:127.0.0.1")
5.将 key 文件进行 PKCS#8 编码
openssl pkcs8 -topk8 -in server.key -out pkcs8_server.key -nocrypt
openssl pkcs8 -topk8 -in client.key -out pkcs8_client.key -nocrypt
最后得到有用的文件分别为
服务器端： ca.crt、server.crt、pkcs8_server.key
客户端端： ca.crt、client.crt、pkcs8_client.key
我这里生成了一套在 cert 目录下，大家可以测试使用。
三. 碰到的问题
因为一个老的 bug 导致一致没有调通。
/**
* 服务端 当读超时时 会调用这个方法
*/
@Override
public void userEventTriggered(ChannelHandlerContext ctx, Object evt) throws Exception {
super.userEventTriggered(ctx, evt);
logger.info("MQTT Server Channel timeout:{}", ctx.channel().id().asLongText());
ctx.close();
}
这个地方有一个错误，userEventTriggered 并不只是超时的时候才会触发，以前在很多项目下没有引起问题是因为以前一直没有用到 SSL ，加上 SSL 就导致错误了，因为 SSL 会在连接的时候会触发这个事件函数，但是我强行关闭连接了，导致一直有问题。最后改成以下代码就可以了：
/**
* 服务端 当读超时时 会调用这个方法，SSL的时候也会触发SslCloseCompletionEvent，SslHandshakeCompletionEvent
*/
@Override
public void userEventTriggered(ChannelHandlerContext ctx, Object evt) throws Exception {
super.userEventTriggered(ctx, evt);
logger.info("MQTT Server Channel Event:{},{}", ctx.channel().id().asLongText(), evt.toString());
if (evt instanceof IdleStateEvent) {
ctx.close();
}
}
四. 测试
用了3种方式来测试
-
利用客户端工具 MQTTX
微信图片_20230818173235.png
配置如上图，证书其中 key 文件选择的是 pkcs8 格式的，因为pkcs12格式的文件有密码，但是这个工具没有找到设置密码的地方。
-
利用Netty实现 java 的 mqtt 客户端，主要设置 SSL 的代码就二句代码
final SslContext sslCtx = SslContextBuilder.forClient()
//双向验证
.keyManager(new File("D:\\Work\\framework\\mqttserver-duoxian\\cert\\client.crt"),
new File("D:\\Work\\framework\\mqttserver-duoxian\\cert\\pkcs8_client.key"))
.trustManager(new File("D:\\Work\\framework\\mqttserver-duoxian\\cert\\ca.crt"))// CA证书，验证对方证书
// 不验证SERVER
// .trustManager(InsecureTrustManagerFactory.INSTANCE)
.build();
......
ch.pipeline().addLast(sslCtx.newHandler(ch.alloc()));
基本和服务端的用户类似，如果不用双向认证就只需要用到 ca.crt 。
注意 netty 只支持 pkcs8 格式的密钥文件。
这个测试类叫 MqttSslClientNetty.java 大家可以在 git 的 src 下目录找到。
- 利用 eclipse.paho 的 mqtt 库
这个也是 MQTT 的常用库，写法比 netty 复杂一些，主要代码如下：
// 加载密钥文件和证书文件
String privateKeyFile = "D:\\Work\\framework\\mqttserver-duoxian\\cert\\client.key";
String certificateFile = "D:\\Work\\framework\\mqttserver-duoxian\\cert\\client.crt";
String caficateFile = "D:\\Work\\framework\\mqttserver-duoxian\\cert\\ca.crt";
//双向认证
//SSLSocketFactory socketFactory = getSocketFactory(caficateFile, certificateFile, privateKeyFile, "123456");
//单向认证
SSLSocketFactory socketFactory = getSocketFactory(caficateFile);
同样单向认证只需要用到 ca 证书。那个 getSocketFactory 函数有2个实现，分别对应单向验证和双向验证。主要是用到了 org.bouncycastle.openssl 库。
注意这里必须用 pkcs12 格式的密钥文件。
这个测试类叫 MqttSslClientPaho.java 大家可以在 git 的 src 下目录找到。
所有代码都已经提交到 git
