Ubuntu18.04にMosquittoMQTTメッセージングブローカーをインストールして保護する方法[クイックスタート]

投稿日: 2019-11-08 2022-04-20
タグ: Messaging, Miscellaneous, Quickstart, ubuntu, Ubuntu 18.04

序章

MQTT は、マシンツーマシンメッセージングプロトコルであり、「モノのインターネット」デバイスへの軽量のパブリッシュ/サブスクライブ通信を提供するように設計されています。 Mosquitto は人気のあるMQTTサーバー（またはMQTT用語ではブローカー）であり、優れたコミュニティサポートを備えており、インストールと構成が簡単です。

この要約されたクイックスタートチュートリアルでは、Mosquittoをインストールして構成し、Let’sEncryptSSL証明書を使用してMQTTトラフィックを保護します。いずれかの手順についてさらに詳しく説明する必要がある場合は、次のチュートリアルを確認してください。

前提条件

このチュートリアルを開始する前に、次のものが必要です。

このUbuntu18.04サーバーセットアップチュートリアルで詳しく説明されているように、root以外のsudo対応ユーザーと基本的なファイアウォールがセットアップされたUbuntu18.04サーバー
サーバーを指すドメイン名。このチュートリアルでは、プレースホルダーmqtt.example.com全体を使用します
ポート80はサーバーで使用されていない必要があります。このポートを占有するWebサーバーを備えたマシンにMosquittoをインストールする場合は、Certbotの webrootモードなど、別の方法を使用して証明書をフェッチする必要があります。

ステップ1—ソフトウェアのインストール

まず、カスタムソフトウェアリポジトリをインストールして、最新バージョンのCertbotであるLet’sEncryptクライアントを取得します。

sudo add-apt-repository ppa:certbot/certbot

ENTERを押して受け入れ、MosquittoおよびCertbotのソフトウェアパッケージをインストールします。

sudo apt install certbot mosquitto mosquitto-clients

次に、SSL証明書を取得します。

ステップ2—SSL証明書をダウンロードする

ファイアウォールでポート80を開きます。

sudo ufw allow 80

次に、Certbotを実行して証明書を取得します。ここでサーバーのドメイン名を必ず置き換えてください。

sudo certbot certonly --standalone --preferred-challenges http -d mqtt.example.com

メールアドレスを入力し、利用規約に同意するよう求められます。そうすると、プロセスが成功し、証明書がどこに保存されているかを示すメッセージが表示されます。

次に、これらの証明書を使用するようにMosquittoを構成します。

ステップ3—Mosquittoの構成

まず、Mosquittoが接続の認証に使用するパスワードファイルを作成します。これを行うには、mosquitto_passwdを使用します。必ず、自分の好みのユーザー名に置き換えてください。

sudo mosquitto_passwd -c /etc/mosquitto/passwd your-username

パスワードの入力を2回求められます。

次に、Mosquittoの新しい構成ファイルを開きます。

sudo nano /etc/mosquitto/conf.d/default.conf

これにより、空のファイルが開きます。次のように貼り付けます。

/etc/mosquitto/conf.d/default.conf

allow_anonymous false
password_file /etc/mosquitto/passwd

listener 1883 localhost

listener 8883
certfile /etc/letsencrypt/live/mqtt.example.com/cert.pem
cafile /etc/letsencrypt/live/mqtt.example.com/chain.pem
keyfile /etc/letsencrypt/live/mqtt.example.com/privkey.pem

listener 8083
protocol websockets
certfile /etc/letsencrypt/live/mqtt.example.com/cert.pem
cafile /etc/letsencrypt/live/mqtt.example.com/chain.pem
keyfile /etc/letsencrypt/live/mqtt.example.com/privkey.pem

mqtt.example.comは、必ず手順2で使用したドメイン名に置き換えてください。終了したら、ファイルを保存して閉じます。

このファイルは次のことを行います。

匿名ログインを無効にします
パスワードファイルを使用してパスワード認証を有効にする
localhostのみのポート1883にセキュリティで保護されていないリスナーを設定します
ポート8883にセキュアリスナーを設定します
ポート8083に安全なWebSocketベースのリスナーを設定します

Mosquittoを再起動して、構成の変更を取得します。

sudo systemctl restart mosquitto

サービスが再度実行されていることを確認してください。

sudo systemctl status mosquitto

Output● mosquitto.service - LSB: mosquitto MQTT v3.1 message broker
   Loaded: loaded (/etc/init.d/mosquitto; generated)
   Active: active (running) since Mon 2018-07-16 15:03:42 UTC; 2min 39s ago
     Docs: man:systemd-sysv-generator(8)
  Process: 6683 ExecStop=/etc/init.d/mosquitto stop (code=exited, status=0/SUCCESS)
  Process: 6699 ExecStart=/etc/init.d/mosquitto start (code=exited, status=0/SUCCESS)
    Tasks: 1 (limit: 1152)
   CGroup: /system.slice/mosquitto.service
           └─6705 /usr/sbin/mosquitto -c /etc/mosquitto/mosquitto.conf

ステータスはactive (running)である必要があります。そうでない場合は、構成ファイルを確認して、再起動してください。 Mosquittoのログファイルには、さらにいくつかの情報が記載されている場合があります。

sudo tail /var/log/mosquitto/mosquitto.log

すべてが順調な場合は、ufwを使用して、2つの新しいポートがファイアウォールを通過できるようにします。

sudo ufw allow 8883
sudo ufw allow 8083

Mosquittoがセットアップされたので、証明書を更新した後にMosquittoを再起動するようにCertbotを構成します。

ステップ4—Certbot更新の構成

Certbotは、SSL証明書が期限切れになる前に自動的に更新しますが、そうしたら、Mosquittoサービスを再起動するように指示する必要があります。

ドメイン名のCertbot更新構成ファイルを開きます。

sudo nano /etc/letsencrypt/renewal/mqtt.example.com.conf

最後の行に次のrenew_hookオプションを追加します。

/etc/letsencrypt/renewal/mqtt.example.com.conf

renew_hook = systemctl restart mosquitto

ファイルを保存して閉じてから、Certbotドライランを実行して、構文に問題がないことを確認します。

sudo certbot renew --dry-run

エラーが表示されない場合は、すべて設定されています。次に、MQTTサーバーをテストしてみましょう。

ステップ5–モスキートのテスト

手順1でいくつかのコマンドラインMQTTクライアントをインストールしました。次のように、ローカルホストリスナーでトピックtestをサブスクライブできます。

mosquitto_sub -h localhost -t test -u "your-user" -P "your-password"

そして、mosquitto_pubで公開できます。

mosquitto_pub -h localhost -t test -m "hello world" -u "your-user" -P "your-password"

ポート8883で保護されたリスナーを使用してサブスクライブするには、次の手順を実行します。

mosquitto_sub -h mqtt.example.com -t test -p 8883 --capath /etc/ssl/certs/ -u "your-username" -P "your-password"

そして、これはあなたが安全なリスナーに公開する方法です：

mosquitto_pub -h mqtt.example.com -t test -m "hello world" -p 8883 --capath /etc/ssl/certs/ -u "your-username" -P "your-password"

localhostの代わりに完全なホスト名を使用していることに注意してください。 SSL証明書はmqtt.example.comに対して発行されているため、localhostに安全に接続しようとすると、ホスト名が証明書のホスト名と一致しないというエラーが表示されます。

WebSocketの機能をテストするために、ブラウザーベースのパブリックMQTTクライアントを使用します。ブラウザでEclipsePahojavascriptクライアントユーティリティを開き、次のように接続情報を入力します。

Host は、Mosquittoサーバーのドメインmqtt.example.com
ポートは8083です
ClientIdはデフォルトのランダム化された値のままにすることができます
Pathはデフォルト値の/wsのままにしておくことができます
ユーザー名は、ステップ3のMosquittoユーザー名です。
Password は、ステップ3で選択したパスワードです。

残りのフィールドはデフォルト値のままにしておくことができます。

接続を押すと、クライアントはサーバーに接続します。接続ペインの下にあるSubscribeペインとPublishMessage ペインを使用して、パブリッシュおよびサブスクライブできます。

結論

これで、安全でパスワードで保護され、SSLで暗号化されたMQTTサーバーをセットアップしてテストしました。これは、IoT、ホームオートメーション、またはその他のプロジェクトの堅牢で安全なメッセージングプラットフォームとして機能します。

getdocs

13036