Ubuntu20.04にMosquittoMQTTメッセージングブローカーをインストールして保護する方法

• sudo権限を持つroot以外のユーザーがいるUbuntu20.04サーバー。
• ドメイン名（myqtt.example.com ）サーバーを指さしました。

ステップ1-Mosquittoサーバーとクライアントをインストールします

Ubuntuには古い1.6バージョンのMosquittoが同梱されています。最新バージョンをインストールするには、公式のMosquittoリポジトリを追加します。

$ sudo add-apt-repository ppa:mosquitto-dev/mosquitto-ppa

Mosquittoサーバーとクライアントをインストールします。

$ sudo apt install mosquitto mosquitto-clients

サーバーのステータスを確認してください。

$ sudo systemctl status mosquitto
? mosquitto.service - Mosquitto MQTT Broker
     Loaded: loaded (/lib/systemd/system/mosquitto.service; enabled; vendor preset: enabled)
     Active: active (running) since Tue 2022-01-25 09:18:40 UTC; 25s ago
       Docs: man:mosquitto.conf(5)
             man:mosquitto(8)
   Main PID: 119694 (mosquitto)
      Tasks: 1 (limit: 2274)
     Memory: 1.0M
     CGroup: /system.slice/mosquitto.service
             ??119694 /usr/sbin/mosquitto -c /etc/mosquitto/mosquitto.conf

Jan 25 09:18:39 <userid> systemd[1]: Starting Mosquitto MQTT Broker...
Jan 25 09:18:40 <userid> systemd[1]: Started Mosquitto MQTT Broker.

ステップ2-MQTTパスワード認証を構成する

Mosquittoには、mosquitto_passwdというパスワードファイルを生成するユーティリティが付属しています。 。 Mosquittoは、すべての構成を/etc/mosquittoに保存します ディレクトリ。

次のコマンドを実行して、/etc/mosquitto/passwdに暗号化されたパスワードファイルを生成します。 ユーザー名username 。選択したパスワードを入力してください。

$ sudo mosquitto_passwd -c /etc/mosquitto/passwd username
Password:
Reenter password:

次に、default.confを作成します /etc/mosquitto/conf.dの下のファイル ディレクトリを開いて編集します。

$ sudo nano /etc/mosquitto/conf.d/default.conf

次の行を貼り付けて、パスワードファイルの場所を指定します。リスナーフィールドを省略すると、構成に関係なく、常に匿名で接続されます。

listener 1883
password_file /etc/mosquitto/passwd

Ctrl + Xを押してファイルを保存します Yと入力します プロンプトが表示されたら。

Mosquittoサーバーを再起動して、変更を実装します。

$ sudo systemctl restart mosquitto

ステップ3-Mosquittoクライアントをテストする

ユースケースに応じて、Mosquittoクライアントを使用して、さまざまなトピックに関するメッセージを送受信できます。クライアントはサブスクライバーまたはパブリッシャーのいずれかです。

次のステップは、トピックをサブスクライブすることです。 MQTTプロトコルでは、トピックとは、サーバー/ブローカーが接続されたクライアントのメッセージをフィルタリングするために使用する文字列を指します。ホームオートメーションアプリケーションで使用できるサンプルトピックを次に示します。

• home / lights / sitting_room
• 家/照明/キッチン
• home / lights / master_bedroom
• home / lights / kids_bedroom

トピックをサブスクライブするには、mosquitto_sub -tを実行します コマンドの後にトピックが続きます。たとえば、home/lights/kitchenに登録するには トピックについては、次のコマンドを実行してください。

$ mosquitto_sub -u username -P YOUR_PASSWORD -t "home/lights/kitchen"

既存のウィンドウを閉じないでください。新しいターミナルウィンドウを開いて、home/lights/kitchenにメッセージを公開します 次のコマンドを使用してトピックを作成します。

$ mosquitto_pub -u username -P YOUR_PASSWORD -m "ON" -t "home/lights/kitchen"

最初のターミナルウィンドウに戻ると、ONが表示されます ペイロード。

ON

次に、OFFを送信します 2番目の端末からの同じトピックに関するメッセージ。

$ mosquitto_pub -u username -P YOUR_PASSWORD -m "OFF" -t "home/lights/kitchen"

最初の端末には、新しく公開されたメッセージが表示されます。

ON
OFF

認証されていないコメントを送信しようとすると、失敗します。たとえば、次のコマンドを試してください。

$ mosquitto_sub -t "home/lights/sitting_room"
Connection error: Connection Refused: not authorised.

推奨されていませんが、次の行を/etc/mosquitto/conf.d/default.confに追加する必要があります。 認証なしでコマンドを実行する場合はファイル。

allow_anonymous true

$ sudo apt install snapd

$ sudo snap install core 
$ sudo snap refresh core

$ sudo snap install --classic certbot

$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

$ sudo certbot certonly --standalone --agree-tos --no-eff-email --staple-ocsp --preferred-challenges http -m [email protected] -d mqtt.example.com

$ sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

$ sudo mkdir -p /var/lib/letsencrypt

$ sudo nano /etc/cron.daily/certbot-renew

#!/bin/sh
certbot renew --cert-name mqtt.example.com --webroot -w /var/lib/letsencrypt/

$ sudo chmod +x /etc/cron.daily/certbot-renew

$ sudo cp /etc/letsencrypt/live/mqtt.example.com/fullchain.pem /etc/mosquitto/certs/server.pem
$ sudo cp /etc/letsencrypt/live/mqtt.example.com/privkey.pem /etc/mosquitto/certs/server.key

$ sudo chown mosquitto: /etc/mosquitto/certs

$ sudo nano /etc/mosquitto/conf.d/default.conf

. . .
listener 8883
certfile /etc/mosquitto/certs/server.pem
cafile  /etc/ssl/certs/ISRG_Root_X1.pem
keyfile /etc/mosquitto/certs/server.key
dhparamfile /etc/ssl/certs/dhparam.pem

$ sudo systemctl restart mosquitto

$ sudo ufw allow 8883

$ mosquitto_pub -h mqtt.example.com -t "home/lights/kitchen" -m "hello" -p 8883 --capath /etc/ssl/certs/ -u username -P YOUR_PASSWORD

$ sudo nano /etc/letsencrypt/renewal-hooks/deploy/mosquitto-copy.sh

# Set which domain this script will be run for
MY_DOMAIN=mqtt.example.com
# Set the directory that the certificates will be copied to.
CERTIFICATE_DIR=/etc/mosquitto/certs

if [ "${RENEWED_DOMAINS}" = "${MY_DOMAIN}" ]; then
	# Copy new certificate to Mosquitto directory
	cp ${RENEWED_LINEAGE}/fullchain.pem ${CERTIFICATE_DIR}/server.pem
	cp ${RENEWED_LINEAGE}/privkey.pem ${CERTIFICATE_DIR}/server.key

	# Set ownership to Mosquitto
	chown mosquitto: ${CERTIFICATE_DIR}/server.pem ${CERTIFICATE_DIR}/server.key

	# Ensure permissions are restrictive
	chmod 0600 ${CERTIFICATE_DIR}/server.pem ${CERTIFICATE_DIR}/server.key

	# Tell Mosquitto to reload certificates and configuration
	pkill -HUP -x mosquitto
fi

$ sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/mosquitto-copy.sh

$ sudo nano /etc/letsencrypt/renewal/mqtt.example.com.conf

pre_hook = systemctl stop nginx
post_hook = systemctl start nginx

$ sudo certbot renew --dry-run

$ sudo nano /etc/mosquitto/conf.d/default.conf

. . .
listener 8083
protocol websockets
certfile /etc/mosquitto/certs/server.pem
cafile  /etc/ssl/certs/ISRG_Root_X1.pem
keyfile /etc/mosquitto/certs/server.key
dhparamfile /etc/ssl/certs/dhparam.pem

$ sudo systemctl restart mosquitto

$ sudo ufw allow 8083