Перейти к содержимому

Поднимаем личный MQTT сервер на роутере Keenetic

Добрый день, уважаемый читатель!

Самый простой и удобный протокол для управления различными “умными” устройствами, на мой взгляд – это MQTT. На этом сайте Вы можете найти перечень публичных облачных MQTT-серверов (брокеров), с помощью которых можно связать один или несколько микроконтроллеров с устройствами управления (например смартфоном) или даже между собой. Но использование только публичных MQTT-брокеров не всегда удобно, например когда требуется обмен информацией между разными микроконтроллерами в пределах одной локации. Например: у меня на даче сведения о уличной температуре и влажности собирает гаражная метеостанция, а использует эти данные не только она, но и множество других устройств – управление вентиляцией, отоплением, подогревом погреба и т.д. Конечно, можно натекать на каждое устройство свои автономные “уличные” датчики, но это лишние датчики, провода, выводы; да и датчик далеко не всегда можно разместить так, чтобы он давал правильные показания. А через MQTT брокер это сделать не сложно – нужно только подписаться на любом устройстве на данные метеостанции и всё, получай данные. Проблемы начинаются, когда пропадает доступ к сети интернет, и это бывает к сожалению, не редко. В таком случае устройства уже не могут обмениваться информацией между собой и вся схема рушится. Если с погодными данными можно как-то смирится, то данные о срабатывании охранных и аварийных сенсоров должны распространяться между устройствами практически мгновенно. Очевидное решение описанной проблемы – использовать локальный брокер. Вторая причина, по которой стоит установить свой личный брокер – временные задержки при обмене информацией между устройствами. И третья не очень очевидная выгода от использования локального брокера – возможность избавиться от необходимости создания защищенного (TLS) соединения между устройствами и сервером, ведь эти подключения будут происходить только за NAT-ом. Недостаток тоже имеется – “просто так” подключиться со смартфона к локальному брокеру вне сети не получится, но эту проблему можно решить.

 

Варианты создания локального MQTT-брокера

1. На базе Raspberry Pi. Самый очевидный вариант. Можно довольно просто развернуть на “малинке” образ какого-нибудь linux-а, установить mosquitto или его аналог и пользоваться в свое удовольствие. Мощности малинки хватит с запасом. А как вариант можно развернуть на ней полноценную систему “умного дома” типа Home Assistant (или другую, вариантов много), тогда Вы автоматически получаете связанный с умным домом MQTT-брокер, и “велосипед изобретать” не потребуется. Но мне “умный дом” не приглянулся вовсе, я предпочитаю создавать маленькие автономные устройства, решающие четко ограниченные задачи; а объединять их все только на уровне панели управления MQTT. Кроме того, в этом варианте меня напрягла необходимость покупать и постоянно кормить электричеством (хоть и относительно немного) отдельное устройство.

2. На базе ESP8266. Существует проект esp_mqtt, который позволяет создать на базе ESP8266 маленький MQTT-брокер. Достоинства: маленький размер и малое энергопотребление. Правда и ограничений в этом случае довольно много – в частности по количеству клиентов и хранимых сообщений. Можно наплодить из ESP целую кучку таких брокеров и создать разветвленную сеть. Я рассматривал это как “запасной вариант”.

2. На базе домашнего роутера. Но зачем покупать лишнее устройство, если можно поставить MQTT брокер на домашний роутер, ведь роутер всё равно нужен и к тому же работает круглые сутки. Существуют прошивки для многих роутеров на базе OpenWRT, куда можно поставить что угодно. Правда мне не хотелось перепрошивать свой роутер кастомной прошивкой, ведь в случае ошибки можно превратить роутер в кирпичик с лампочками. Да и, судя по отзывам, OpenWRT не всегда так удобна, как родная прошивка роутера. Но сейчас на Keenetic-и добавили поддержку “Менеджера пакетов OPKG“, и теперь не требуется перепрошивать роутер, чтобы получить возможность устанавливать на него дополнительные пакеты. OPKG — это свободно распространяющийся менеджер пакетов для встраиваемых систем. Вот этой возможностью мы и воспользуемся.


Что потребуется

1. Роутер Keenetic с поддержкой OPKG. Насколько я понял из официальной инструкции, это могут быть следующие модели: Keenetic Omni (KN-1410), Keenetic Extra (KN-1710/1711), Keenetic Giga (KN-1010), Keenetic Ultra (KN-1810), Keenetic Viva (KN-1910), Keenetic Giant (KN-2610), Zyxel Keenetic II / III, Zyxel Keenetic Extra, Zyxel Keenetic Extra II, Zyxel Keenetic Giga II / III, Zyxel Keenetic Omni, Zyxel Keenetic Omni II, Zyxel Keenetic Viva, Zyxel Keenetic Ultra, Zyxel Keenetic Ultra II, а также Keenetic DSL (KN-2010), Duo (KN-2110) и Zyxel Keenetic DSL, LTE, VOX.
Следует иметь в виду, что младшие модели с небольшим объемом RAM и слабым процессором могут просто не потянуть дополнительную нагрузку в виде mosquitto, особенно если роутер уже нагружен большим объемом передаваемого трафика. У меня уже имелся достаточно мощный Keenetic Giga с двухядерным процессором и 256MB RAM. Старый Keenetic 4G не тянул не только OPKG, но даже и кастомную OpenWRT. Поэтому, когда пришло время менять роутер на даче, я даже не задумывался, какую модель выбрать – купил точно такую же Giga. Да, это достаточно дорогой выбор, но “любишь кататься, люби и бензин покупать”… Поэтому процесс установки будет описан именно для нее. Думаю, что для других моделей Keenetic процесс установки практически не будет отличаться от описанного.
PS: Я вполне допускаю, что роутеры других производителей ещё круче и лучше, и так же допускают установку пакетов OpenWRT “из коробки” – но эта статья не про них.

 

2. USB-накопитель с разделом ext4. Я купил себе крохотную флешку на 32Gb, дабы не сильно торчала из корпуса роутера. Для создания раздела ext4 в системе Windows для этого можно воспользоваться бесплатным приложением MiniTool Partition Wizard Free. Процесс подготовки подробнее будет описан ниже.

 

Это всё, что требуется. Плюс немного мысленных усилий и гугла в помощь. Приступаем.

1. Устанавливаем необходимые компоненты

Заходим в панель управления (“админку”) роутера. Находим раздел “Управление” – “Общие настройки” – “Обновления и компоненты”. Нажмите кнопку “Изменить набор компонентов”:

Установка необходимых компонентов

Что потребуется установить:

  • Пакеты OPKG / Поддержка открытых пакетов – Система управления пакетами на основе OPKG. Основной компонент, что нам требуется.
  • Пакеты OPKG / Модули ядра для поддержки файловых систем – Поддержка различных файловых систем для OPKG.
  • USB-накопители / Файловая система Ext – Необходим для работы с файловой системой Ext на USB-накопителях.
  • USB-накопители / Общий доступ к файлам и принтерам (TSMB CIFS) – Предоставляет доступ к USB-накопителям и принтерам для компьютеров под управлением Windows. необходим будет, чтобы иметь возможность подключаться к флешке по сети и копировать на нее или с нее файлы, редактировать файл конфигурации mosquito.
  • Базовые компоненты / Сервер SSH – Позволяет безопасно подключаться к командной строке устройства. Это нам потребуется. Я не на 100% уверен, что именно этот компонент будет задействован впоследствии, по подключаться к командной строке придется. Поэтому лучше поставить, не убудет.

Остальные компоненты – по желанию и необходимости (если Вы ещё ничего не меняли). Не забываем нажать кнопку “Установить обновление” внизу, ждем несколько минут, пока роутер скачает необходимые пакеты, установит их и перезагрузится. А в это время можно заняться подготовкой USB-накопителя…


2. Подготавливаем USB-накопитель

Как я уже написал выше, для установки OpenWRT-пакетов на Keenetic необходимо предварительно подготовить внешний USB-накопитель и установить на него систему пакетов репозитория Entware. Повторю здесь цитату из официальной инструкции: Для использования пакетов OPKG необходим USB-накопитель, подключенный к интернет-центру. Диск должен быть отформатирован в файловой системе EXT. Мы рекомендуем использовать современную и актуальную журналируемую файловую систему EXT4. Для работы накопителей с EXT4 в роутере Keenetic должен быть установлен компонент “Файловая система Ext”.

Небольшое примечание: в инструкции по установке Asterisk на роутер настойчиво рекомендуют использовать файловую систему EXT2, чтобы снизить износ Flash-памяти. Хм, теперь я не уверен в том, что EXT4 это оптимальный выбор для OPKG, но все-таки я отформатировал флешку, как описано в “основной” инструкции. Какую ФС предпочтете Вы – решать Вам. Я не думаю, что с EXT2 OPKG будет хуже работать.

Небольшая сложность здесь в том, что Windows сама по себе не умеет работать с файловыми системами EXT. Для подготовки потребуется дополнительная программа MiniTool Partition Wizard Free или аналогичная. Скачиваем, устанавливаем, запускаем. Вставляем накопитель в USB-разъем, находим в списке нужный раздел, и запускаем его форматирование как EXT4, примерно как показано на рисунке ниже:

Форматирования раздела в EXT4

Не забудьте нажать кнопку “Apply” слева внизу (применить внесенные изменения). Ждем, довольно долго… 32GB форматируется больше получаса. После форматирования Windows “не видит” эту флешку, так что на нее напрямую ничего скопировать не получится. Вставляем подготовленную флешку в порт Keenetic-а. Заходим в интерфейс Keenetic и убедимся, что накопитель доступен. Для этого необходимо отрыть раздел “Управление” – “Приложения“:

Проверяем успешное монтирование диска

Теперь нужно подключить этот накопитель к приложению “Сеть Windows“, дабы иметь возможность скопировать на него файлы по сети. Находим приложение “Сеть Windows” на этой же странице, только ниже и кликаем по его названию:

Активируем приложение “Сеть Windows”

Убедимся, что доступ к диску по сети имеется, при необходимости можно настроить доступ с помощью кнопки “Добавить общий ресурс”:

Настройка приложения “Сеть Windows”

На компьютере с помощью файлового менеджера открываем диск по сети (в ОС Windows можно использовать Проводник) “Сеть > Ваш Роутер > Ваш ресурс” и убеждаемся, что всё успешно работает.

Так выглядит пока ещё пустой USB-диск на роутере

Можно приступать настройке OPKG и установке системы пакетов репозитория Entware.

 


3. Установка репозитория Entware на USB-накопитель

Инструкция на сайте keenetic. Для моделей Omni (KN-1410), Extra (KN-1710/1711), Giga (KN-1010), Ultra (KN-1810), Viva (KN-1910), Giant (KN-2610) и Zyxel Keenetic II / III, Extra, Extra II, Giga II / III, Omni, Omni II, Viva, Ultra, Ultra II используйте для установки архив mipsel – mipsel-installer.tar.gz.

Для моделей DSL (KN-2010), Duo (KN-2110) и Zyxel Keenetic DSL, LTE, VOX используйте для установки архив mips – mips-installer.tar.gz

У меня Giga (KN-1010), поэтому я скачиваю первый вариант. Затем в корне раздела диска необходимо создать директорию install, куда скопировать скачанный файл mipsel-installer.tar.gz. Внимание: регистр символов важен! Не Install, и не INSTALL, а именно install.

Создаем папку install на USB-диске на роутере

В веб-интерфейсе роутера перейдите на страницу “Настройка” – “OPKG” для выбора накопителя. Выберите накопитель, в поле “Сценарий initrc” добавьте opt/etc/init.d/rc.unslung, после чего сохраните изменения.

Настройка OPKG

После нажатия кнопки “Сохранить” роутер зависнет на пару минут, это нормально. После этого перейдите на страницу “Диагностика” и откройте Системный журнал роутера (кнопкой “Показать журнал”). В нем вы должны увидеть следующие записи:

Системный журнал

PS: Официальная инструкция: Установка системы пакетов репозитория Entware на USB-накопитель.


4. Настройка репозитория Entware

Для дальнейшей настройки нам понадобится SSH-клиент, например PUTTY для работы с протоколами SSH и Telnet. Если он у Вас ещё не установлен, то скачиваем и устанавливаем. Дальнейшие действия рассматриваются на его примере.

Запускаем, выбираем режим SSH, указываем адрес Вашего роутера (у меня он несколько “нестандартный”, так как несколько роутеров объединены в сеть) и порт 222, как на рисунке:

PUTTY

На страшный запрос о добавлении сертификата сервера в кеш обязательно отвечаем “Да”, после чего появится черное-черное окно терминала в черной-черной комнате. На запрос login as вводим root, на запрос пароля вводим keenetic (в пароле вводимые символы никак не отображаются):

login as: root
root@192.168.111.1's password: keenetic

После чего мы попадаем в командный интерфейс:

Терминал Entware

Первым делом необходимо сменить пароль доступа к терминалу Entware. Примечание: пользователь root в интерфейсе самого роутера нигде не участвует, он необходим только для доступа к Entware. Для этого введите команду passwd и дважды введите новый пароль:

Смена пароля

Теперь можно обновить opkg-пакеты, для этого введите команду opkg update:

~ # opkg update
Downloading http://bin.entware.net/mipselsf-k3.4/Packages.gz
Updated list of available packages in /opt/var/opkg-lists/entware
Downloading http://bin.entware.net/mipselsf-k3.4/keenetic/Packages.gz
Updated list of available packages in /opt/var/opkg-lists/keendev
~ #

Для удобства настройки сразу установим Midnight Commander, с помощью него многие операции можно выполнить существенно проще. Для этого следует выполнить команду opkg install mc:

~ # mc
-sh: mc: not found
~ # opkg install mc
Installing mc (4.8.26-1b) to root...
Downloading http://bin.entware.net/mipselsf-k3.4/mc_4.8.26-1b_mipsel-3.4.ipk
....
Configuring libiconv-full.
....
Configuring mc.
~ # mc

Midnight Commander

На этом подготовку к установке MQTT-брокера можно считать завершенной.

 


5. Установка Mosquitto

Находим нужный нам пакет. Полный список пакетов можно найти здесь:

Основной список пакетов для mipsel Дополнительный список пакетов Keenetic для mipsel

Открываем основной список, в строке фильтра вводим mqtt и смотрим результаты:

Находим пакеты для сервера mosquitto

Нам нужен пакет для сервера mosquitto, их два: простая версия (nossl) и защищенная (ssl). Я выбрал второй вариант. Для установки пакета вводим команду opkg install mosquitto-ssl и ждем завершения:

~ # opkg install mosquitto-ssl
Installing mosquitto-ssl (2.0.10-1) to root...
Downloading http://bin.entware.net/mipselsf-k3.4/mosquitto-ssl_2.0.10-1_mipsel-3.4.ipk
Installing zlib (1.2.11-3) to root...
Downloading http://bin.entware.net/mipselsf-k3.4/zlib_1.2.11-3_mipsel-3.4.ipk
Installing libopenssl (1.1.1k-1) to root...
Downloading http://bin.entware.net/mipselsf-k3.4/libopenssl_1.1.1k-1_mipsel-3.4.ipk
Installing libcap (2.48-1) to root...
Downloading http://bin.entware.net/mipselsf-k3.4/libcap_2.48-1_mipsel-3.4.ipk
Installing libwebsockets-openssl (4.1.6-1) to root...
Downloading http://bin.entware.net/mipselsf-k3.4/libwebsockets-openssl_4.1.6-1_mipsel-3.4.ipk
Installing cJSON (1.7.14-3) to root...
Downloading http://bin.entware.net/mipselsf-k3.4/cJSON_1.7.14-3_mipsel-3.4.ipk
Configuring libcap.
Configuring zlib.
Configuring libopenssl.
Configuring libwebsockets-openssl.
Configuring cJSON.
Configuring mosquitto-ssl.

Установка выполнена, переходим к настройке.

 


6. Настройка Mosquitto

Файл конфигурации mosquitto находится в каталоге /opt/etc/mosquitto/ и называется mosquitto.conf. В большинстве инструкции авторы советуют оставить этот файл неизменным, а все настройки выполнять в отдельном файле (прилинковав его к первому), мотивируя это тем, что так удобнее (на самом деле так решил только первый, настоящий автор, а остальные просто тупо скопипастили, не задумываясь). Мне этот подход показался не удобным и я сделал по другому – оригинальный файл скопировал с переименованием в mosquitto.default (дабы иметь возможность вернуть оригинал, если накосячу), а все настройки выполнял в основном файле, попутно переводя транслейтом не совсем понятные мне места.

1. Вначале стоит добавить пользователя, от имени которого будет запускаться mosquitto. Негоже запускать его от имени root, так как это ведет к снижению уровня безопасности всего роутера. Для добавления нового пользователя в консоли вводим команду adduser mosquitto, а затем два раза вводим пароль:

~ # adduser mosquitto
Changing password for mosquitto
New password: ***********
Bad password: too weak
Retype password: ***********
passwd: password for mosquitto changed by root

После чего в файле конфигурации mosquitto.conf необходимо раскомментировать строку General configuration / user mosquitto:

# When run as root, drop privileges to this user and its primary 
# group. # Set to root to stay as root, but this is not recommended. 
# If set to "mosquitto", or left unset, and the "mosquitto" user does not exist 
# then it will drop privileges to the "nobody" user instead. 
# If run as a non-root user, this setting has no effect. 
# Note that on Windows this has no effect and so mosquitto should be started by 
# the user you wish it to run as. 
user mosquitto

Перезапускаем роутер. Снова подключаемся к роутеру по SSH и пробуем запустить mosquitto командой mosquitto -c /opt/etc/mosquitto/mosquitto.conf -d, после чего проверяем успешность запуска с помощью команды ps:

~ # mosquitto -c /opt/etc/mosquitto/mosquitto.conf -d
~ # ps
  PID USER       VSZ STAT COMMAND
    1 root      1100 S    init
 .........................
 1079 mosquitt  7264 S    mosquitto -c /opt/etc/mosquitto/mosquitto.conf -d
 1080 root      3880 R    ps

Здесь важно убедится, что сервер нормально запустился под только что созданным пользователем. Если это не так (сервер пишет, что пользователь mosquitto не найден), то можно попробовать обходной путь из этой статьи. Однако на новой версии у меня всё заработало без танцев с бубном.

 

2. Добавляем mosquitto в автозагрузку при включении или перезапуске роутера. Для этого необходимо создать скрипт в каталоге /opt/etc/init.d с названием Smosquitto. Префикс “S” означает, то данный скрипт будет включён в автозапуск (префикс “K” означает, то данный скрипт будет исключён из автозапуска). Удобнее всего это сделать с помощью mc:

Создание скрипта автозапуска

Для этого запускам mc, переходим в каталог /opt/etc/init.d, нажимаем клавиши shift+f4 (открывается пустой файл) и вставляем следующие строки:

#!/bin/sh
PATH=/opt/bin:/opt/sbin:/sbin:/bin:/usr/sbin:/usr/bin 
mosquitto -d -c /opt/etc/mosquitto/mosquitto.conf

Затем сохраняем файл с помощью клавиши f2, указав имя файла Smosquitto. Как вариант, можно сделать это по сети. Затем нужно сделать этот скрипт исполняемым командой chmod +x /opt/etc/init.d/Smosquitto.

 

3. Создаем рабочие каталоги или разрешаем доступ к уже существующим. Для нормальной работы mosquitto потребуется иметь доступ на запись как минимум в два каталога (а на первых порах лучше в три). Поскольку мы будем запускать брокер от пользователя с “не root”, права на доступ к файлам и папкам у него будут минимальными – только на чтение (по большей части, исключение составляет каталог пользователя). Поэтому придется вначале вручную создать необходимые директории и разрешить пользователю mosquitto доступ к ним.

Я создал следующую структуру каталогов (возможно, она не является оптимальной, Вы можете изменить по своему вкусу):

  • /opt/etc/mosquitto [чтение и выполнение] – Этот каталог будет создан автоматически при установке. Здесь находятся файл конфигурации, позже я добавил файл со списком пользователей, файл со списком разрешений, служебные скрипты (перезапуск например). Ничего дополнительно настраивать не требуется.
  • /opt/etc/mosquitto/persistence [полный доступ, владелец] – Этот каталог предназначен для хранения базы данных брокера. Можно, конечно, обойтись и без этого, но тогда все retained сообщения будут потеряны при случайной перезагрузке роутера или отключении электричества. Для того, чтобы брокер мог беспрепятственно создавать файлы и писать туда данные, дадим полный доступ.
  • /opt/var/log [чтение, запись и поиск (выполнение)] – сюда будем писать журнал. На первых порах он гораздо удобнее системного журнала. Потом, когда всё отлажено, чтобы не следить за размером файла, можно оставить вывод сообщений только в системный журнал роутера. Хотя, в принципе, ничто не мешает писать логи в другой каталог, например /opt/etc/mosquitto/log
  • /opt/var/run [чтение, запись и поиск (выполнение)] – а в этом каталоге сервер сохраняет pid-файл, который определяет, запущен процесс или нет. Сюда же роутер пишет другой похожий файл, так что здесь ему самое место.

Обратите внимание! Для всех пакетов OPKG все директории обязательно должны начинаться с /opt/!

Приступаем к настройке каталогов и раздаче прав. С собственно /opt/etc/mosquitto делать ничего не требуется – пользователь mosquitto по умолчанию имеет права на чтение и выполнение, а большего и не нужно. Переходим в этот каталог, создаем новый persistence и назначаем ему нового владельца:

~ # cd /opt/etc/mosquitto
~ # mkdir persistence
~ # chown -R :mosquitto persistence
~ # chown -R mosquitto persistence

Менять владельца требуется, так как мы зашли в SSH-терминал под пользователем root, а доступ нужно дать пользователю mosquitto. Поэтому при создании каталога владельцем автоматически станет тот, кто его создал (я тебя породил, я тебя и убью, да-да, именно так). Можно ограничится chmod 777, но я решил сделать кардинально.

Теперь проверьте, существуют ли каталоги /opt/var/log и /opt/var/run. Если их ещё нет, создайте. Проще и удобнее всего это сделать с помощью mc (Midnight Commander). После этого необходимо дать полные права на эти каталоги:

~ # chmod 777 /opt/var/log
~ # chmod 777 /opt/var/run

Тут уж ничего не поделаешь – изменять владельца нельзя, добавить только пользователя mosquitto (как это можно сделать в виндах) – тоже. Ограничится только чтением + записью тоже не удалось (файлы не создавались). Пришлось давать все права и всем (777).

Альтернативный вариант, предложенный в комментариях. Можно попробовать выполнить следующие команды:

~ # touch /opt/var/run/mosquitto.pid
~ # touch /opt/var/log/mosquitto.log
~ # chown mosquitto:mosquitto /opt/var/run/mosquitto.pid
~ # chown mosquitto:mosquitto /opt/var/log/mosquitto.log

С одной стороны, это более правильный вариант. Команда touch создает пустой файл, затем с помощью команды chown меняем владельца данного файла на mosquitto. Единственный момент – после того, как любой из файлов будет удален “вручную” (например из-за большого размера файла журнала), потребуется вновь повторить данные команды.

 

4. Настраиваем mosquitto.conf. Файл конфигурации mosquitto.conf я полностью очистил и заполнил только теми значениями, которые я изменял. Просто “выдергивал” из заранее скопированного в отдельную папку “дефлотного” нужные мне параметры и вставлял в основной файл. Можно править этот файл по сети, но нужно иметь в виду что файл должен быть в кодировке UTF-8 с BOM. Можно править файл с помощью mc прямо в консоли роутера.

Первым делом нужно указать, на каком порту сервер будет “слушать” входящие подключения. Пока оставим один порт – 1883, без TLS. Честно говоря, в локальной сети TCP + TLS не очень то и требуется, ведь все соединения происходят только внутри за NAT-ом и в некоторой степени изолированы от внешнего интернета. Да, порт 1883 сервер слушает по умолчанию, без указаний сверху. Но если не указывать listener, то принимать входящие подключения он будет только со своего IP, а всех остальных “пошлет лесом”. Подключения по WebSocket я тоже отключил, за ненадобностью. Итак:

# =================================================================
# Listeners
# =================================================================

# Порт без SSL
listener 1883
protocol mqtt

Далее пройдемся по общим настройкам. Некоторые параметры имеют те же самые значения “по умолчанию”, что и у меня. Смысл их указания в том, что в будущем после обновления значения “по умолчанию” могут и измениться, а указанием в файле я фиксирую их состояние. Но и огромное количество значений я не стал трогать.

# =================================================================
# General configuration
# =================================================================

# Пользователь, от имени которого будет запущен mosquitto
user mosquitto

# Файл идентификатор запущенного сервиса
pid_file /opt/var/run/mosquitto.pid

# Разрешить сохраняемые сообщения
retain_available true

# Лимит кучи (оставил на будущее)
memory_limit 0

# Разрешить подключение без указания идентификатора клиента
allow_zero_length_clientid true
auto_id_prefix auto-

# Удалять подключения старше 1 месяца
persistent_client_expiration 1m

# Помещать сообщения QoS0 в очередь
queue_qos0_messages false

# Интервал публикации системной информации
sys_interval 60

Лимит кучи для брокера я пока оставил без ограничений (0), но если в будущем окажется, что брокер выжирает всю доступную память на роутере, то придется умерить его аппетиты. Уменьшил интервал публикации системной информации, дабы сильно не грузить роутер почти бесполезными данными (по умолчанию 10 секунд).

Далее указываем, где брокер будет хранить базу данных. Указываем ему путь на ранее созданную папку:

# =================================================================
# Persistence
# =================================================================

# Разрешить сохранение базы данных на диске
persistence true

# Каталог для хранения локальной базы данных
persistence_location /opt/etc/mosquitto/persistence
# Имя файла локальной базы данных
persistence_file mosquitto.db

# Интервал записи данных на диск в секундах
autosave_interval 1800
# Сохранять по интервалу времени (true - по количеству изменений)
autosave_on_changes false

Думаю, тут тоже всё понятно. Переходим к журналированию. На начальном этапе я включил несколько журналов: в консоль, в системный журнал роутера, в файл и в системные топики. После того, как настройка брокера будет завершена, вывод журналов в консоль и в файл имеет смысл отключить. Ибо консоль всё равно никто видеть не будет, а файл может неограниченно расти. Ну и количество типов событий можно существенно подсократить (в будущем).

# =================================================================
# Logging
# =================================================================

# Вывод в консоль
log_dest stdout
# Вывод в системный лог роутера
log_dest syslog
# Вывод в файл
log_dest file /opt/var/log/mosquitto.log
# Вывод в системный топик
log_dest topic

# Какие типы сообщений следует писать в лог
log_type error
log_type warning
log_type notice
log_type information
log_type subscribe
log_type unsubscribe

# Выводить в лог события подключения клиентов
connection_messages true

# Выводить в лог метку времени
log_timestamp true
log_timestamp_format %Y-%m-%d %H:%M:%S

Ну и последний этап (ну не совсем, а до первого запуска) – указываем, как будет происходить авторизация клиентов на сервере. Я выбрал самый простой вариант – по логину и паролю, без всяких там плагинов и сертификатов.

# =================================================================
# Security
# =================================================================

#clientid_prefixes
# Запретить анонимные подключения
allow_anonymous false
# Имя файла с данными пользователей и паролями
password_file /opt/etc/mosquitto/mosquitto.users
# Имя файла с правами доступа к топикам
acl_file /opt/etc/mosquitto/mosquitto.acl

Добавляем все эти секции в файл, проверяем, сохраняем. В принципе, можно уже пробовать запускать брокер. Сделать это можно с помощью команды:

mosquitto -d -c /opt/etc/mosquitto/mosquitto.conf

Однако, если брокер уже был запущен, его нужно предварительно остановить. Чтобы не набирать команды каждый раз ручками, я набросал в Midnight Commander скриптик и дал ему права на выполнение:

#!/bin/sh
PATH=/opt/bin:/opt/sbin:/sbin:/bin:/usr/sbin:/usr/bin 
killall mosquitto
mosquitto -d -c /opt/etc/mosquitto/mosquitto.conf

Назвать его можно как угодно, я обозвал без выкрутасов – restart. Очень экономит время при настройке. Действуйте по аналогии, как это описано выше для скрипта Smosquitto, можно даже просто создать копию с Smosquitto, а затем отредактировать.

Однако подключаться пока ещё рано, нужно вначале создать файл пользователей и добавить пользователей в список. Сделать это можно с помощью команды mosquitto_passwd:

mosquitto_passwd
mosquitto_passwd is a tool for managing password files for mosquitto.

Usage: mosquitto_passwd [-H sha512 | -H sha512-pbkdf2] [-c | -D] passwordfile username
       mosquitto_passwd [-H sha512 | -H sha512-pbkdf2] [-c] -b passwordfile username password
       mosquitto_passwd -U passwordfile
 -b : run in batch mode to allow passing passwords on the command line.
 -c : create a new password file. This will overwrite existing files.
 -D : delete the username rather than adding/updating its password.
 -H : specify the hashing algorithm. Defaults to sha512-pbkdf2, which is recommended.
      Mosquitto 1.6 and earlier defaulted to sha512.
 -U : update a plain text password file to use hashed passwords.

See https://mosquitto.org/ for more information.

Вам потребуется добавить как минимум одного пользователя в список пользователей брокера. С помощью этого аккаунта Вы будете подключаться к брокеру со смартфона и с Ваших устройств. Однако я настоятельно рекомендую Вам не ограничиваться одной учетной записью, а создать несколько разных учетных записей – отдельные учётки для смартфонов управления, и отдельные учётки для каждого из умных устройств. Во-первых при необходимости изменения единственного пароля (при утере смартфона, например), Вам придется поменять все пароли на всех устройствах сразу. А в случае разных учёток можно ограничится только удалением из списка скомпрометированной записи. Во-вторых, при разных учетных записях возможно настроить разные уровни доступа к топикам, что может быть полезно.

Первого пользователя добавляем с опцией создания нового файла ( ):

mosquitto_passwd -c -b /opt/etc/mosquitto/mosquitto.users логин пароль

Второго и последующего пользователя добавляем уже без этого флага:

mosquitto_passwd -b /opt/etc/mosquitto/mosquitto.users логин пароль

Пользователей можно добавить сколько угодно.

В результате будет создан файл примерно такого содержания:

admin:$7$101$NUE9kyIRB4Ght9ub$qOzyqRAf5rRcVVddLoQbgplfRhbZFc8NLsrTy3jDsHli9Gq52cK6uSnRkQE0xHWKqNgYZV+sE27lv/Mzsm2phw==
test:$7$101$KrJjxaCUf2QeC9xt$wb2TMbbfb3ZUGqELgYFFPePQfSO63ARbrhBH5+cHZjHAtKAnObBsnqDvvWCcbMZ0coxMkGvcjYScLv00Gl/6GA==

 

Теперь нужно создать файл с правами доступа к топикам. Утилиты для этого никакой нет, да её и не требуется – это простой текстовый файл. Создайте его в mc. В нем для каждого пользователя должно быть две строчки вида:

user test
topic readwrite #

Более подробно можно прочитать в документации:

Списки управления доступом для конкретных тем добавляются после пользовательской строки следующим образом:

user <username>
topic [read|write|readwrite|deny] <topic>

Упомянутое здесь имя пользователя такое же, как в password_file. Это не clientid. Тип доступа контролируется с помощью «чтение», «запись», «чтение-запись» или «запретить». Этот параметр является необязательным (если <topic> не содержит пробела) - если не задан, то доступ осуществляется на чтение / запись. <topic> может содержать подстановочные знаки + или #, как в подписках. Параметр «deny» может использоваться для явного отказа в доступе к теме, который в противном случае был бы предоставлен более широким оператором чтения / записи / чтения и записи. Любые запрещенные темы обрабатываются перед тем, которые предоставляют доступ для чтения / записи.

Итак, запускаем mc, переходим в каталог /opt/etc/mosquitto/, нажимаем клавиши shift+f4 (откроется пустое окно редактора), добавляем строки:

user admin
topic readwrite #

user test
topic readwrite #

Этим самым мы дали полные права на все топики (пока так – потом я буду настраивать доступы гораздо более “тонко”). Далее нажимаем f2, на запрос имени файла вводим mosquitto.acl. Разумеется, имена пользователей должны соответствовать Вашим.

Перезапускаем брокер (скриптом или перезагрузкой роутера). Можно убедится, что всё хорошо, посмотрев файл журнала:

2021-05-09 08:26:43: mosquitto version 2.0.10 starting
2021-05-09 08:26:43: Config loaded from /opt/etc/mosquitto/mosquitto.conf.
2021-05-09 08:26:43: Opening ipv4 listen socket on port 1883.
2021-05-09 08:26:43: Opening ipv6 listen socket on port 1883.
2021-05-09 08:26:43: mosquitto version 2.0.10 running 

Теперь можно попробовать подключиться со смартфона или компьютера под любым из созданных пользователей. На данном этапе используем “прямое” подключение на порту 1883. Если всё было сделано правильно, подключение будет успешно выполнено, а в файле журнала должны появится следующие строки:

2021-05-09 08:54:47: New connection from 192.168.8.73:41352 on port 1883.
2021-05-09 08:54:47: New client connected from 192.168.8.73:41352 as mqttdash-03b55403 (p2, c1, k30, u'admin').
2021-05-09 08:54:49: Client mqttdash-03b55403 disconnected.

Ура! Заработало!

 


7. Добавляем возможность TLS-соединения

Как я уже говорил, в локальной сети TLS / SSL как бы не особо и нужен. Но он потребуется, если Вы захотите открыть порт брокера на роутере “наружу” (так называемый “проброс портов”) – в этом случае оставлять незащищенным канал управления умным домом, мягко говоря, рискованно. Да и внутри сети SSL-соединение не помешает. Я не буду подписывать созданный сертификат в центре сертификации CA, а создам самоподписанный сертификат (потому что “извне” подключаться к серверу не планирую. Однако Вы можете это сделать, например через LetsEncrypt.

1. Для начала нам необходимо установить утилиту OpenSSL:

~ # opkg install openssl-util
Installing openssl-util (1.1.1k-1) to root...
Downloading http://bin.entware.net/mipselsf-k3.4/openssl-util_1.1.1k-1_mipsel-3.4.ipk
Installing libopenssl-conf (1.1.1k-1) to root...
Downloading http://bin.entware.net/mipselsf-k3.4/libopenssl-conf_1.1.1k-1_mipsel-3.4.ipk
Configuring libopenssl-conf.
Configuring openssl-util.
~ #

 

2. Создаем каталог для хранения сертификатов и ключей. Поскольку это сертификат mosquitto, то логично расположить всё это хозяйство внутри /opt/etc/mosquitto. Создадим каталог /opt/etc/mosquitto/certs и перейдем в него:

~ # cd /opt/etc/mosquitto
/opt/etc/mosquitto # mkdir certs
/opt/etc/mosquitto # cd certs
/opt/etc/mosquitto/certs #

 

3. Генерируем личный RSA ключ для личного “центра сертификации” (СА KEY) с помощью команды openssl genrsa -out mosq-ca.key 2048:

/opt/etc/mosquitto/certs # openssl genrsa -out mosq-ca.key 2048
Generating RSA private key, 2048 bit long modulus (2 primes)
............................................+++++
.....................+++++
e is 65537 (0x010001)
/opt/etc/mosquitto/certs #

Используя эту команду, мы создаем ключ длиной 2048 бит с именем mosq-ca.key (имя в принципе может быть другим)

4. Генерируем CA сертификат X509 (CA CERT), используя созданный CA ключ. Для этого выполните команду openssl req -new -x509 -days 999 -key mosq-ca.key -out mosq-ca.crt. Программа запросит данные страны, региона, организации и другие данные (некоторые можно оставить пустыми), после чего будет создан файл сертификата:

/opt/etc/mosquitto/certs # openssl req -new -x509 -days 999 -key mosq-ca.key -out mosq-ca.crt
You are about to be asked to enter information that will be incorporated into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:RU
State or Province Name (full name) [Some-State]:Russian Federation
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:kotyara12
Email Address []:kotyara12@yandex.ru
/opt/etc/mosquitto/certs #

 

5. Генерируем личный RSA ключ для сервера (SERVER KEY) с помощью команды openssl genrsa -out mosq-serv.key 2048:

/opt/etc/mosquitto/certs # openssl genrsa -out mosq-serv.key 2048
Generating RSA private key, 2048 bit long modulus (2 primes)
......................................................................................+++++
.................................................................+++++
e is 65537 (0x010001)
/opt/etc/mosquitto/certs #

 

6. Создаем запрос на подпись сертификата сервера (SERVER CSR). Этот запрос должен быть отправлен в центр сертификации, который после проверки личности автора возвращает сертификат. В данном случае я не буду этого делать, а создам сертификат, подписанный “своим” центром сертификации.

/opt/etc/mosquitto/certs # openssl req -new -key mosq-serv.key -out mosq-serv.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:RU
State or Province Name (full name) [Some-State]:Russian Federation
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:k12village_mosquitto
Email Address []:kotyara12@yandex.ru

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:123456789
An optional company name []:
/opt/etc/mosquitto/certs #

Как вы можете заметить, мы использовали закрытый ключ, сгенерированный на предыдущем шаге. Наконец, мы можем создать сертификат для использования на нашем сервере Mosquitto.

 

7. Создаем сертификат сервера (SERVER CERT), используя запрос на подпись сертификата и ранее созданный CA сертификат:

/opt/etc/mosquitto/certs # openssl x509 -req -in mosq-serv.csr -CA mosq-ca.crt -CAkey mosq-ca.key -CAcreateserial -out mosq-serv.crt -days 999 -sha256
Signature ok
subject=C = RU, ST = Russian Federation, O = Internet Widgits Pty Ltd, CN = k12village_mosquitto, emailAddress = kotyara12@yandex.ru
Getting CA Private Key
/opt/etc/mosquitto/certs #

Готово. Сертификаты созданы. Конечно, этот сертификат не примет обычный браузер, но в некоторых mqtt-клиентах для android есть возможность использования самоподписанного сертификата (хотя в этом есть потенциальный риск, что сертификат может быть подменен). А для ESP это вообще не важно, так как в любом случае требуется указание корневого сертификата.

Можно проверить результаты, выполнив команду openssl x509 -in mosq-serv.crt -noout -text.

 

8. Корректируем права на доступ к файлам ключей пользователям.

Поскольку мы создавали ключи и сертификаты, залогинившись в терминала под пользователем root, то и права на доступ к папке и файлам будет только у пользователя root. А сервер у нас запускается под ограниченным пользователем mosquitto. Если сейчас попытаться перезапустить брокер, то он не сможет подгрузить ключи и выдаст серию ошибок типа “в доступе отказано”. Что ж, это довольно легко поправить, выполнив команду:

chmod 777 /opt/etc/mosquitto/certs -R

Ключ -R обозначает, что команду нужно выполнить рекурсивно, то есть для папки и всех вложенных подпапок и файлов.

 

9. Подключаем созданный сертификат к нашему серверу.

Осталось настроить mosquitto.conf. Для этого добавляем в секцию Listeners ещё одного слушателя:

# Порт SSL
listener 8883
protocol mqtt
cafile /opt/etc/mosquitto/certs/mosq-ca.crt
certfile /opt/etc/mosquitto/certs/mosq-serv.crt
keyfile /opt/etc/mosquitto/certs/mosq-serv.key

Добавить эти строки нужно после уже добавленного ранее listener 1883.

 

10. Перезапускаем брокер любым способом: командным файлом, вручную или перезагрузкой роутера и пробуем подключится.

2021-05-10 08:12:34: mosquitto version 2.0.10 starting
2021-05-10 08:12:34: Config loaded from /opt/etc/mosquitto/mosquitto.conf.
2021-05-10 08:12:34: Opening ipv4 listen socket on port 1883.
2021-05-10 08:12:34: Opening ipv6 listen socket on port 1883.
2021-05-10 08:12:34: Opening ipv4 listen socket on port 8883.
2021-05-10 08:12:34: Opening ipv6 listen socket on port 8883.
2021-05-10 08:12:34: mosquitto version 2.0.10 running

 

Настраиваем клиент для работы с самоподписанным сертификатом. Для этого можно либо подгрузить CA сертификат на смартфон, либо поставить галочку в свойствах подключения:

Настройка клиента MQTT Dash для работы с локальным брокером напрямую

и пробуем подключится:

2021-05-10 08:14:03: New connection from 192.168.8.73:48412 on port 8883.
2021-05-10 08:14:03: New client connected from 192.168.8.73:48412 as mqttdash-03b55403 (p2, c1, k30, u'admin').
2021-05-10 08:14:05: Client mqttdash-03b55403 disconnected.

Отлично! Теперь можно пробросить порты 1883 и 8883 на роутере наружу и попытаться подключиться к нашему серверу извне. Если Вы имеете белый IP-адрес… Или попробовать подключиться через Keenetic DNS.

 


8. Пробрасываем порты для возможности подключения к брокеру извне

Важно! Переадресация портов будет работать только в том случае, если интернет-центр использует белый (публичный) IP-адрес для выхода в Интернет. Дополнительную информацию вы найдете в статье “В чем отличие “белого” и “серого” IP-адреса?”.

Заходим в панель управления роутером в раздел “Сетевые правила” – “Переадресация” и добавляем правило, как на рисунке ниже:

Проброс порта 8883 на роутере

Сохраняем. В настройках клиента меняем локальный адрес сервера “192.168.1.1” на тот, который Вам выдал Keenetic (что-то типа “xxx.keenetic.pro”) и пробуем подключиться. У меня всё заработало с первого раза. Единственное, что хотелось бы отметить – эту операцию нужно повторить для всех внешних сетевых интерфейсов, если их несколько (основной и резервный канал до интернета). Нужно ли дополнительно пробросить порт 1883 – решать только Вам. У меня получилось что-то вроде этого:

Проброс MQTT портов на роутере

Как видите, noSSL 1883 порты извне я всё-таки отключил, ибо небезопасно. А внутри локальной сети все будет работать и без SSL.

 


9. Настраиваем мост к внешнему MQTT серверу

Проброс портов это хорошо, но не слишком удобно. Особенно, если у Вас есть несколько локаций, на каждой из которых стоит свой роутер со своим локальным брокером. В этом случае свести данные с устройств на одну панель управления не получится. Гораздо удобнее настроить мост между нашим локальным брокером, и любым другим внешним облачным MQTT-брокером. В этом случае смартфоны управления мы будем настраивать на работу с облачным брокером, ESP – на работу с локальным адресом, ну а локальный брокер будет автоматически подключаться к нему и перенаправлять данные туда и обратно. Можно даже сделать сложную структуру так, чтобы данные вначале отправлялись на какой-либо “главный локальный” брокер, а затем уже на облачный брокер в интернете (правда я пока не знаю, зачем такое может быть нужно).

Мостов на внешние брокеры может быть несколько, каждое такое подключение должно иметь своё имя. Кстати, несколько мостов позволяет одновременно принимать данные с разных облачных брокеров, если ранее прошитые ESP по каким-то причинам невозможно переключить на другой брокер.

Прежде чем создавать мостовые соединения, хорошо бы создать отдельного локального пользователя, хотя в принципе можно обойтись и уже существующим. Для этого воспользуемся командой mosquitto_passwd, как мы это делали ранее:

mosquitto_passwd -b /opt/etc/mosquitto/mosquitto.users bridge 11111111

а затем не забудьте добавить права доступа на топики в /opt/etc/mosquitto/mosquitto.acl, для примера можно так:

user bridge
topic readwrite #

Для создания мостового соединения необходимо добавить по крайней мере одну новую запись mosquitto.conf в секцию Bridges:

# =================================================================
# Bridges
# =================================================================

# Имя мостового соединения
connection wqtt_ru
# Имя сервера и порт для внешнего брокера
address x65535.wqtt.ru:1003
# Какие топики и в каком направлении следует пересылать: в данном случае всё (только для примера, в раельном соединении не рекомендуется: может вызвать зацикливание)
topic # both
# Тип запуска: автоматический
start_type automatic
# Версия протокола (мой удаленный брокер требует этот протокол)
bridge_protocol_version mqttv311
# Если установлено true, публиковать уведомления для локальных и удаленных брокеров с информацией о состоянии мостового соединения
notifications true
# Параметры локального подключения
local_clientid bridge_local
local_username bridge
local_password 11111111
# Параметры удаленного подключения
remote_clientid bridge_remote
remote_username U_WQTT_RU
remote_password 22222222
# Отписываться на внешнем брокере от тем "наружу"
bridge_attempt_unsubscribe true
# Чистая сессия отключена
cleansession false
# Интервал поддержания соединения в секундах
keepalive_interval 60
# Интервал, после которого неактивный мост будет остановлен
idle_timeout 600

Разумеется, имя сервера, порт, имена пользователей и пароли Вы предварительно должны заменить на свои!

Перезапускаем локальный брокер, проверяем. Работает! Но – без SSL, что не есть гуд.

 


10. Настройка моста на работу через SSL

Для работы SSL необходим сертификат удаленного сервера, точнее корневой сертификат удостоверяющего центра, с которого по цепочке будут проверены все остальные сертификаты. На роутере сертификат удостоверяющего центра для wqtt.ru уже имеется в каталоге /etc/ssl/certs под именем ISRG_Root_X1.crt, так что ничего скачивать и генерировать не потребуется. Мало того, роутер сам позаботится об его обновлении, когда необходимо. Осталось немного подкорректировать файл конфигурации:

......
# Имя сервера и порт для внешнего брокера: здесь меняем порт на SSL
address x65535.wqtt.ru:1004 
# Сертификат CA (корневой в цепочке сертификатов) внешнего брокера
bridge_cafile /etc/ssl/certs/ISRG_Root_X1.crt
......

Перезапускаем брокер, проверяем. Connecting bridge wqtt_ru (x65535.wqtt.ru:1004), всё в порядке.

Поздравляю, Вы только что настроили свой личный MQTT сервер с SSL, бесплатно и навсегда!

 


 

На этом пока всё, до встречи на сайте и на telegram-канале!

💠 Полный архив статей вы найдете здесь


Пожалуйста, оцените статью:
[ 5 из 5, всего 4 оценок ]

66 комментариев для “Поднимаем личный MQTT сервер на роутере Keenetic”

  1. Добрый день,
    до 7 пункта (Добавляем возможность TLS-соединения) все великолепно получалось. Скипнул 7 пункат, т.к. мне для теста он не нужен был. Перешел к пробросу портов и тоже все ОК. Вернулся к 7 добавлению TSL/SSL и все MQTT не отвечает не по локалке, не извне. по 222 порту тоже не достучаться. 🙁

    Подскажите как откатится/ оживить ?

    1. Добрый день.
      Не могу сказать “вслепую”. А в логах что пишет?

      У меня сейчас почему-то проброс портов перестал работать, не работает по имени извне “ни в какую”. Хотя вначале всё вроде-бы работало. Но при наличии моста это, строго говоря, не нужно. Статью только надо бы поправить, убрать этот пункт вообще.

        1. Откатится по сути просто – вернуть предыдущий конфиг и перезапустить брокер.
          Но если у вас нет доступа к SSH, значит проблема, скорее всего, в OPKG самом. Может флешка отвалилась? У меня было один раз, после чего роутер завис намертво, даже WiFi перестал работать.
          Проверьте доступность накопителя по сети.

  2. Для инфы таким же как я слепым, не сохранил внесенные изменени (listener 8883) в mosquitto.conf
    ++ не сохраняет по умолчанию при закрытии 🙂

    1. mc не сохраняет? вроде бы меня спрашивал, что файл не сохранен. но не уверен…

      а почему тогда SSH отвалился?

  3. заработало, и проброс работает. Но, одна проблема MQTT клиентов с поддержкой SSL с самоподписанным сертификатом мало. Под десктоп нашел MQTT Explorer но не понял какие сертификаты куда подсовывать

    1. Я пользуюсь mqtt dash, он поддерживает самоподписанные сертификаты.
      Отлично подходит для панелей управления с постоянной работой (предупреждение: экран панели при этом выгорать может)
      Очень простой, поддерживает JSON, но и позволяет делать различные “выкрутасы” с помощью скриптов.

  4. Алексей

    Добрый день, по поводу mipsel-installer.tar.gz – файл есть, просто Crome его считает опасным. Надо просто нажать, что осознаешь риск.
    По пакетам есть дополнение:
    Пакет mosquitto-nossl Не содержит программы mosquitto_passwd. Решение – ставить ssl версию (она отлично работает и без SSL).

    По правам, чтобы не давать chmod 777 всюду, можно заменить четырьмя командами:
    touch /opt/var/run/mosquitto.pid
    touch /opt/var/log/mosquitto.log
    chown mosquitto:mosquitto /opt/var/run/mosquitto.pid
    chown mosquitto:mosquitto /opt/var/log/mosquitto.log
    Они создадут необходимые файлы и дадут доступ необходимому пользователю.

    1. Спасибо за ценный комментарий. Вероятно, указанные команды будут полезны читателям. Сам я не очень силен в linux, увы.
      Однако по поводу файла могу заметить, что файл скачивался всегда, но некоторое время назад при попытке установки скачанного файла на роутер выдавал ошибку “Во время установки пакета ndmq произошла ошибка” и установка прекращалась. Подключиться через телнет не получалось. При этом установка из “старого” файла прошла успешно.
      Возможно, сейчас установочный файл уже поправили, я не проверял. Однако, если ошибка сохраняется, у меня есть старая версия, обращайтесь.

  5. По п.8 не работает потому что забыли упомянуть что:
    “Важно! Переадресация портов будет работать только в том случае, если интернет-центр использует белый (публичный) IP-адрес для выхода в Интернет. Дополнительную информацию вы найдете в статье “В чем отличие “белого” и “серого” IP-адреса?”
    https://help.keenetic.com/hc/ru/articles/360000360760-Переадресация-портов
    Так что для работы с сервером из вне придется купить белый адрес для начала!

    1. Полностью согласен. Просто вначале у меня почему-то прокатило, я даже удивился немного. Но потом чуда не произошло. Статью подкорректирую. Спасибо.

      1. Это очень важный пункт для многих. Так как за белый IP нужно дополнительно платить провайдеру и многие ищут бесплатные сервера, я например пробовал Oracle Cloud, но столкнулся с проблемой что сервер может просто в одночасье исчезнуть и снова выделить место на их глобальном сервере для своего бесплатного сервера не так то просто – постоянно пишет что всё занято, то есть в один момент у просто перестали передаваться данные по MQTT, а восстановить даже за сутки не сможете потому что не дадут место под сервер!
        В общем у меня Уфанет при моём тарифе более 100 мбит просит за выделенку 150 р, а для остальных просит 250 р – это 3000 р в год. Каждому ли это под силу?
        В общем как резюме. Знал бы что нужна выделенка морочится не стал бы! Стоит упомянуть об этом с самых первых строк статьи.

        1. Но зато прекрасно работает в режиме моста. Со смартфона я подключаюсь к публичному серверу, а устройства – к локальному. При отсутствии доступа в интернет устройства общаются между собой через локальный сервер, но теряется внешний контроль. Именно такая задача мной и ставилась, ибо интернет на даче пропадает часто и надолго, а устройства должны иметь возможность общаться между собой. В качестве “приятного бонуса” появилась возможность разделить публикуемые данные – часть данных теперь не уходит за пределы локального брокера.

  6. VovanPitersky

    Ноя 20 05:19:50 root Started mosquitto from .
    Ноя 20 05:19:51 mosquitto[463] mosquitto version 2.0.11 starting
    Ноя 20 05:19:51 mosquitto[463] Config loaded from /opt/etc/mosquitto/mosquitto.conf.
    Ноя 20 05:19:51 mosquitto[463] Opening ipv4 listen socket on port 1883.
    Ноя 20 05:19:51 mosquitto[463] Opening ipv6 listen socket on port 1883.
    Ноя 20 05:19:51 mosquitto[463] mosquitto version 2.0.11 running !!!!!!!!!!!!!!!!!!!!!!!!!!!!
    Ноя 20 05:19:51 mosquitto[469] mosquitto version 2.0.11 starting
    Ноя 20 05:19:51 mosquitto[469] Config loaded from /opt/etc/mosquitto/mosquitto.conf.
    Ноя 20 05:19:51 mosquitto[469] Opening ipv4 listen socket on port 1883.
    Ноя 20 05:19:51 mosquitto[469] Error: Address already in use !!!!!!!!!!!!!!!!!!!!!!!!!!!!

    Я правильно понимаю, что после перезагрузки keenetica – mosquitto почему-то стартует два раза подряд ???

    1. Добрый день. Да, Вы всё правильно понимаете. Попробуйте удалить скрипт запуска и перезагрузить роутер – запустится или нет? Может быть в новых версиях что-то другое придумали…

  7. VovanPitersky

    Спасибо за оперативный ответ
    удалил из паки /opt/etc/init.d файл Smosquitto
    теперь mosquitto запускается ОДИН раз
    обратил внимание, что в папке /opt/etc/init.d ОТКУДА-ТО 🙂 появился файл S80mosquitto следующего содержания:
    #!/bin/sh
    ENABLED=yes
    PROCS=mosquitto
    ARGS=”-c /opt/etc/mosquitto/mosquitto.conf”
    PREARGS=””
    DESC=$PROCS
    PATH=/opt/sbin:/opt/bin:/opt/usr/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
    . /opt/etc/init.d/rc.func

    1. Спасибо за информацию, отмечу в статье этот пункт.
      Возможно, в новой версии скрипт создается автоматически при установке.
      Скоро сам буду на ещё одном роутере ставить, заодно и проверю.

    2. У меня в паке /opt/etc/init.d нет файла Smosquitto, а вот S80mosquitto с точно таким же содержанием есть!
      У меня вопрос по статье:
      1. У меня в качестве сервера Keenetic Ultra (Уфанет), а клиент – Keenetic 4G (Билайн). Так же клиентами являются все кто подключаются к серверу по VPN. Вопрос. Раз мы уж используем Keenetic с его возможностью организации VPN, то я так понимаю что при организации VPN вместо “opkg install mosquitto-ssl” можно установить “opkg install mosquitto-nossl” правильно? К примеру у меня оказывается с Андроид-смарфона есть возможность подключиться по VPN (PPTP, L2TP, IPSEC). Может упомяните такую возможность? Это же очень удобно оказывается! У меня например всё через PPTP с открытым портом 1883 для всех что подключен через VPN.
      2. Правильно ли я понимаю что у нас установлен Linux 4.9-ndm-4 mips и приведенные в статье библиотеки: первая “ОСНОВНОЙ СПИСОК ПАКЕТОВ ДЛЯ MIPSEL” это как раз под Linux 4.9-ndm-4 mips от разработчиков самого Линукс, а вторая “ДОПОЛНИТЕЛЬНЫЙ СПИСОК ПАКЕТОВ KEENETIC ДЛЯ MIPSEL” это уже доп.библиотека от разработчиков Keenetic с учётом железа.
      3. Уже успел установить “mosquitto-ssl”. Правильно ли я понимаю что всё будет работать нормально через порт 1883? Отличие mosquitto-ssl от mosquitto-nossl лишь в том что в первом присутствует работа с портом 8883, а во втором его нет?
      4. К сожалению пока что не освоил mosquitto и дашборд для управления со смарфона, но нашёл простое решение – bkynk, которым пока и пользуюсь для контроля и управления котлом через сухой контакт (сразу скажу что там параллельно стоит термореле на всякий случай и управление идет через нормально замкнутый контакт реле). Так вот… есть ли возможность установить Java для установки сервера blynk, пока не изучу mosquitto. И будут ли работать эти сервера вместе или надо mosquitto стоповать на время работы blynk?

      1. Добрый день.
        1. Это вопрос вкуса. У меня VPN используется для объединения нескольких кинетиков в единую сеть, чтобы, например, иметь возможность подключаться к сетевому диску на “главном” роутере с дачи. Смысла подключать устройства к MQTT через VPN лично для себя не вижу вообще, ну а для смартфонов – так ведь большую часть времени я вообще не локальной сети, а на работе. Но если вам так удобнее, почему нет.
        Чтобы упомянуть такую возможность, нужно с этим вначале более-менее разбираться, а уж потом описывать. А у меня нет на это ни времени, ни желания. Сейчас допилил свою прошивку для ESP32, вот по ней будет большая статья. На кинетик уже времени нет. Понимаете, я всего лишь поделился своим опытом. Смысла продвигать это дальше для меня нет. Если у Вас есть желание – Вы можете подготовить материал, а я опубликую ссылку на него, или включу в текст с указанием Вашего авторства, и всем будет хорошо.
        2. Скорее всего это так. Но я не специалист в таких тонкостях.
        3. Да, имеено так. “mosquitto-ssl” нормально работает и на 1883 и на 8883 порту одновременно. У меня устройства на ESP8266 внутри сети как раз без SSL и подключаются, чтобы не мучаться с сертификатами. А планшет – “панель управления” так же локально подключается уже к 8883. Смартфоны уже через мост к wqtt.
        Посему не вижу необходимости ставить “mosquitto-nossl” вообще.
        4. Blynk у меня стоит на домашнем сервере, но…. Blynk клиент сейчас есть только для Arduino, а я от него отказался. Делать свой клиент Blynk для ESP-IDF нет желания. Да и возможностей Mqtt Dash пока хватает с запасом.

  8. VovanPitersky

    ОГРОМНОЕ спасибо за статью, я с мая ходил вокруг keenetica и хотел поднять на нём брокер, но понимал, что знаний не хватает, а нормального руководства в инете – НЕТ!
    так и крутился брокер на стареньком андроит-телефоне через программу MQTT Broker App с тормозами и периодическими отключениями (((
    С помощью Вас настроил брокер keenetic за одну ночь, еще раз ОГРОМНОЕ спасибо!

    1. Благодарю. Очень рад, что статья оказалась полезной.
      Заходите ещё, планирую серию статей по программированию ESP32 под ESP-IDF

  9. VovanPitersky

    ПыСы: Вы случайно с погодной станции Qingping Air Monitor publish-топики на локальный брокер не заворачивали? :-)))) Ну мало ли )))))

  10. Дмитрий

    Добрый день! Установил mosquitto-nossl – 2.0.13-1. Всё запускается, брокер работает. Но при попытке сформировать файл с паролями
    ~ # mosquitto_passwd
    -sh: mosquitto_passwd: not found

    поиском бинарник mosquitto_passwd не находит(

    1. Добрый день.
      В пакете NOSSL этого файла просто нет. Вероятно, пароли там можно хранить в открытом виде, но формат мне не известен.
      Либо ставьте пакет с SSL (особенно если Вы планируете настроить мост к внешнему серверу – там он будет просто необходим), либо погуглите, как создать файл с паролями в этом случае.

  11. не пробовали поднять сервер sstp на кенетике и чз него подключаться к mosquitto удаленно?

    1. Частично, у меня настроен туннель между двумя роутерами keenetic.
      Я через него из сети дачи к домашнему серверу подключаюсь.
      Но к mosquitto не пробовал, так как на обоих он уже есть и как бы особой надобности нет.
      Они через мосты синхронизируются “как надо”.

  12. Здравствуйте! периодически, при перезагрузке, теряется мостовое соединение. в чем может быть проблема?

  13. было пару раз такие записи, в остальном, вроде, все нормально.
    Янв 3 16:59:28
    mosquitto[475]
    2023-01-03 16:59:28: Connecting bridge oracle (158.101.194.241:1883)
    Янв 3 16:59:28
    mosquitto[483]
    2023-01-03 16:59:28: Error: Address already in use

        1. Я имею в виду, что вы могли добавить в файл конфигурации два мостовых соединения и они мешают друг другу.
          Может у вас мост зацикливается из-за правила
          topic # both
          ? Не допускали такую возможность?

  14. ну вот, мост пропал, записей по мосту нет никаких
    Янв 3 19:45:03
    mosquitto[480]
    2023-01-03 19:45:03: New connection from 192.168.1.38:37468 on port 1883.
    Янв 3 19:45:03
    mosquitto[480]
    2023-01-03 19:45:03: New client connected from 192.168.1.38:37468 as Client-89519 (p2, c1, k60, u’arduiner69′).
    Янв 3 19:45:15
    mosquitto[480]
    2023-01-03 19:45:15: Client Client-89519 closed its connection.
    Янв 3 19:45:47
    mosquitto[480]
    2023-01-03 19:45:47: New connection from 192.168.1.38:37470 on port 1883.
    Янв 3 19:45:48
    mosquitto[480]
    2023-01-03 19:45:48: New client connected from 192.168.1.38:37470 as Client-89519 (p2, c1, k60, u’arduiner69′).

  15. сейчас при выкл и вкл появилась еще одна запись
    Янв 3 16:59:28
    mosquitto[480]
    2023-01-03 16:59:28: Connecting bridge oracle (158.101.194.241:1883)
    Янв 3 16:59:28
    mosquitto[474]
    2023-01-03 16:59:28: Error: Address already in use
    Янв 3 16:59:28
    mosquitto[480]
    2023-01-03 16:59:28: Expiring client bridge_local due to timeout.

    1. А что пишет google? Например ссылка: https://github.com/eclipse/mosquitto/issues/2634. Похоже, это проблема в новой версии..

      PS: Я не специалист по брокерам и мостам… Я так же как все, надергал из разных неполных и противоречивых статей информации, проверил, свел все воедино и написал, как мне кажется, целостное руководство. Которое помогаем моим читателям, надеюсь и вам. Но крутым специалистом в этой области, я увы, не стал. Я стараюсь больше своего времени посвящать ESP-IDF. А mosqutto – ну настроил 4 раза, ну работает… Зачем мне его дальше то копать?

  16. да так то, вроде, все работает. спасибо огромное за статью! сам бы никогда не справился)

  17. Спасибо! отличная статья, делал до ssl
    проверял так:

    в терминале (внешняя машина с клиентом) подписываемся на топик
    mosquitto_sub -h 192.168.1.1 -u user1 -P pass1 -d -t hello/world

    в другом терминале, посылаем сообщение
    mosquitto_pub -h 192.168.1.1 -u user1 -P pass1 -d -t hello/world -m “Hello from Terminal window 2!”

  18. Алекчей

    Добрый день!
    Не получается по инструкции пройти п.3 “Установка репозитория Entware на USB-накопитель”.
    В журнале появляются совсем не такие записи:
    [I] Jan 8 20:55:38 ndm: Cifs::ServerTsmb: added share “MQTT_64”.
    [I] Jan 8 20:55:38 ndm: Cifs::ServerTsmb: automount enabled.
    [I] Jan 8 20:55:38 ndm: Cifs::ServerTsmb: permissive mode enabled.
    [I] Jan 8 20:55:38 ndm: Core::System::StartupConfig: saving (http/rci).
    [I] Jan 8 20:55:40 kernel: TSMB module version 3020.9.24.13 started from process 27056!
    [I] Jan 8 20:55:42 ndm: Core::System::StartupConfig: configuration saved.
    [I] Jan 8 20:55:45 ndm: Cifs::ServerTsmb: service started.
    [I] Jan 8 20:56:17 ndm: Opkg::Manager: disk is unset.
    [I] Jan 8 20:56:17 ndm: Opkg::Manager: init script reset to default: /opt/etc/initrc.
    [I] Jan 8 20:56:17 ndm: Core::System::StartupConfig: saving (http/rci).
    [I] Jan 8 20:56:20 ndm: Core::System::StartupConfig: configuration saved.
    [I] Jan 8 20:56:31 ndm: Opkg::Manager: disk is set to: MQTT_64:/.
    [I] Jan 8 20:56:31 ndm: Opkg::Manager: configured init script: “/opt/ opt/etc/init.d/rc.unslung”.
    [I] Jan 8 20:56:31 ndm: Core::System::StartupConfig: saving (http/rci).
    [I] Jan 8 20:56:31 kernel: EXT4-fs (sda1): re-mounted. Opts: (null)
    [I] Jan 8 20:56:31 ndm: Opkg::Manager: /tmp/mnt/d17fb948-8623-d901-4066-b9488623d901 mounted to /tmp/mnt/d17fb948-8623-d901-4066-b9488623d901.
    [I] Jan 8 20:56:31 ndm: Opkg::Manager: /tmp/mnt/d17fb948-8623-d901-4066-b9488623d901 mounted to /opt/.
    [I] Jan 8 20:56:31 npkg: inflating “mipsel-installer.tar.gz”.
    [I] Jan 8 20:56:32 ndm: Opkg::Manager: /tmp/mnt/d17fb948-8623-d901-4066-b9488623d901 initialized.
    [E] Jan 8 20:56:32 ndm: Opkg::Manager: invalid initrc “/opt/ opt/etc/init.d/rc.unslung”: no such file or directory, trying /opt/etc/init.d/.
    [I] Jan 8 20:56:32 installer: [1/5] Начало установки системы пакетов “Entware”…
    [I] Jan 8 20:56:32 installer: Info: Раздел пригоден для установки.
    [I] Jan 8 20:56:32 installer: Info: “ping google.com”…
    [I] Jan 8 20:56:35 ndm: Core::System::StartupConfig: configuration saved.
    [I] Jan 8 20:56:44 installer: Critical error: Ресурс недоступен. Проверьте настройки сети.
    [I] Jan 8 20:56:44 installer: Выход из установки.

    1. По моему всё очевидно… Даже по-русски написано “ресурс недоступен, проверьте настойки сети”
      У вас недоступен google.com. Дальше скрипт просто останавливается

  19. За подробное описание процесса большое спасибо.
    Вопрос:
    Главного пользователя сервера (админа) создали командой adduser mosquitto
    Его логин и пароль сохранились в файле /opt/etc/mosquitto/passwd
    От его имени собственно и запускается сервер

    Пользователей умного дома создаем в отдельном файле mosquitto.users
    Первая команда с [-c] создает новый файл или перезаписывает если существует
    Все последующие пользователи без [-c] – дописываются в этот файл
    Так вот у меня почему то команда на создание первого пользователя выдает ошибку
    # mosquitto_passwd -c -b /opt/etc/mosquitto/mosquitto.users ZBook test
    Error: -c argument given but password file or username missing.

    1. Пробовал Результат тот же
      ~ # mosquitto_passwd -c -b /opt/etc/mosquitto/mosquitto.users ZBook
      Error: -c argument given but password file or username missing
      Может проблема в правах на каталог и файлы? Каталог etc/mosquitto/ –< root, файлы то же кроме mosquitto.acl
      ему переназначил на mosquitto Хотя ведь с [-c] система создает новый файл Причем тогда "…password file… ", тогда проблема в юзере которого естественно нет

  20. Предыдущую ошибку с записью пользователей исправил. Сам создал файл mosquitto.users
    В логах сервера вижу ее одну ошибку
    2023-01-14 11:40:19: Saving in-memory database to /opt/etc/mosquitto/persistencemosquitto.db.
    2023-01-14 11:40:19: Error saving in-memory database, unable to open /opt/etc/mosquitto/persistencemosquitto.db.new for writing.
    2023-01-14 11:40:19: Error: Permission denied

    В файле конфигурации указан путь persistence_location /opt/etc/mosquitto/persistence
    Почему пытается писать persistencemosquitto.db в каталог /opt/etc/mosquitto/
    Спасибо

  21. Слеш надо поставить в файле конфигурации в конце записи persistence_location /opt/etc/mosquitto/persistence/

    1. У меня и без слеша на конце работает прекрасно. Специально сейчас проверил. Да и делал я по своей же инструкции в последний раз летом 2022 (специально проверил актуальность) – никаких затруднений не возникло.

  22. День добрый. Хорошая статья. Большое спасибо за работу. Не могли бы мне помочь советом? Сам я не особо в этом силён. Делал всё по вашей инструкции, потратил 4 вечера, пропустил только пункт 7и8, настроил мост также на wqtt, всё работало до выключения света. Сначала “рухнул” мост:) просто перестал подключатся,в журнале роутера даже попыток не было, перезагрузка не помогала. PuTTY перестало входить по порту 222 пишет ошибку “Ошибка сети :в соединении отказано”. Во время поисков перенёс файл Smosquitto в другую папку, так ка обнаружил что там имеется файл S80mosquito (думал может конфликт), после этого mosquitto больше не запускался, возврат файла не помог. В общем на данный момент ни чего не работает :(. Дальнейшие действия ни к чему не приводят. Я вернул роутер на заводские настройки, отформатировал флэшку, в общем пошёл с начала но после установки Entware приглашение с портом отсутствует. PuTTY так и выдаёт ошибку Network error: Connection refused. Роутер Kinnetic KN-1713.

    1. У меня дважды “сдыхала” флешка с opkg, но после повторной установки все всегда работало. И сейчас работает. Не было у меня таких проблем. А в логах роутера что пишет?

      Кстати, если есть S80mosquitto, то Smosquitto не нужен!
      Я писал статью, когда он еще не создавался автоматически.

      1. Флэшку он видит( я так думаю). Через программу, либо через сеть заходит в неё. Пробовал другую флэшку- безрезультатно. Почему то не пускает через 222 порт. Пускает через 22 , но там нет пользователя root. А лог где можно посмотреть? И что там смотреть? В журнале роутера ошибок не наблюдается. Подкажите а при замене флэшки, вся процедура выполняется заново или достаточно где-то сохранить весь комплект файлов и установить на новую? И ещё вопрос, пункт 7и8 обязательны?

        1. 1. На 22 порту отвечает сам роутер, а не OPKG. Поэтому там root и не доступен. OPKG – это виртуальная машина внутри ОС роутера. Если 222 порт не ответчет, скорее всего, эта ВМ не работает.
          2. Лог нужно смотреть в интерфейсе самого роутера, в разделе “Диагностика”
          3. При замене флешки установку компонентов, разумеется, можно опустить. Форматируем флешку, копируем install, затем входим по 222 порту, меняем пароль, создаем пользователя, устанавливаем пакеты, как обычно. Не забыть раздать права на рабочие каталоги. Затем проще – если есть файлы в backup-е копирую конфиг, список пользователей и файл доступа, сертификаты из архива и все это сразу после перезагрузки уже работает. Так как все настройки москита хранятся в файлах, никаких реестров тут нет. После последнего сбоя флешки я потратил на восстановление настроек меньше времени, чем на форматирование новой флешки.
          4. 7 пункт – ваше личное дело. Можно вообще не делать, только SSL-подключение внутри локалки работать не будет.
          5. Проброс портов (8) все равно не работает как надо, так что его можно вообще стереть из статьи.
          Лучше бы, конечно, использовать SSD-диск вместо флешки, надежнее… Но жаба, такая жаба…

  23. Евгений

    День добрый! Хорошая статья. Не могли бы мне помочь советом? У меня Keenetic DSL. Сделал всё необходимое по Вашей инструкции. Не выполнил только пункты 7 и 8. И сейчас третий вечер мучаюсь с подключением к брокеру смартфоном с приложением “IoT MQTT Panel”, пишет “Нет прав доступа на подключение”. Подскажите пожалуйста, что я делаю не так?

      1. Евгений

        Спасибо! У меня в каталоге /opt/etc/mosquitto два файла, mosquitto.user и mosquitto.users. В первом файле указаны два пользователя, а во втором – один, а того, под чьим именем пытался войти как раз нет. Скажите пожалуйста, а эти оба файла должны быть в каталоге /opt/etc/mosquitto? И в каком из них должны отображаться пользователи брокера?

        1. Вообще-то должен быть только один. Тот, который прописан в файле конфигурации брокера.
          Название строгой роли не имеет, у меня (и в статье) это mosquitto.users.
          Если у вас два – значит вы где-то немного накосячили 😉

  24. Евгений

    Спасибо за советы. Всё наладил, в локальной сети работает четко. Проблема встала с подключением через интернет. Зарегистрировался в сервисе KeenDNS и пытаюсь зайти на сервер через интернет по доменному имени 4 уровня. Но как-то не получается. В справке Keenetic указано: Через KeenDNS можно получить удалённый доступ к веб-конфигуратору Keenetic, а также к устройствам домашней сети с веб-интерфейсом по протоколам HTTP/HTTPS по следующим портам:
    HTTP: 80, 81, 280, 591, 777, 5080, 8080, 8090 и 65080
    HTTPS: 443, 5083, 5443, 8083, 8443 и 65083. Это значит, что в файле конфигурации mosquitto.conf в разделе Listeners необходимо прописать например: Listener 8080?

    Может не подключил какие-то компоненты? С этими вещами встречаюсь впервые. Кстати, может необходимо выполнить п.7 из статьи?

    1. Добрый день!
      Если очень надо, то можно попробовать перенастроить MQTT на порты из указанного вами списка. Но я просто настроил мост на внешний брокер.

    2. Указанные Вами протоколы и порты предназначены для браузерных приложений. Работают в режиме “через облако”.
      MQTT работает на протоколе ТСР – увы…
      Что-бы всё(все протоколы и порты) взлетело через KeenDNS, нужно иметь белый IP на WAN порту – приобретать у провайдера. Но раньше некоторые операторы( пчелино-полосатый) предоставляли белый динамический адрес бесплатно по L2TP, но сейчас в моём городе перешли на IPOE, и пришлось приобретать услугу(для других применений), 150р.

  25. Уведомление: Mqtt сервер на роутере keenetic — Все о Windows простым языком

  26. Отличный материал, спасибо, очень помогло!
    Проработало без проблем полгода где-то, пришлось переставить, делал всё в точности по инструкции и получил ошибки в логе:
    Error: Unable to open pwfile “/opt/etc/mosquitto/mosquitto.users”.
    Error opening password file “/opt/etc/mosquitto/mosquitto.users”.
    Пришлось выполнять команды:
    chown mosquitto /opt/etc/mosquitto/mosquitto.users
    chmod 0700 /opt/etc/mosquitto/mosquitto.users
    chown mosquitto /opt/etc/mosquitto/mosquitto.acl
    chmod 0700 /opt/etc/mosquitto/mosquitto.acl
    chmod 0700 /opt/var/log/mosquitto.log
    chgrp mosquitto /opt/etc/mosquitto/mosquitto.acl
    chgrp mosquitto /opt/etc/mosquitto/mosquitto.users

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *