3. 农业设备MQTT通信环境搭建

在农业物联网项目中，MQTT Broker 是整个数据通信的中枢。田间气象站、土壤墒情传感器、水肥一体机控制器、大棚卷帘电机等设备，都要通过 Broker 完成主题订阅与消息转发。Broker 选型与部署质量，直接决定了后续设备接入规模、消息时延、断线重连表现以及系统安全性。本节围绕 Broker 选型、本地与云服务器部署、安全认证和端口规划四个关键环节展开，帮助搭建一个可支撑农业设备稳定通信的 MQTT 服务环境。

一、Broker 选型：Mosquitto 与 EMQX 的取舍

Mosquitto 是轻量级开源 Broker，采用 C 语言实现，单机内存占用小，配置文件简洁，非常适合部署在农业园区本地网关、边缘盒子或小型服务器上。它的典型优势是资源消耗低、上手快，适合几十到几百台设备的本地场景。EMQX 则是面向大规模物联网的高性能 Broker，支持集群、规则引擎、数据桥接、丰富的认证插件和可视化 Dashboard，更适合设备数量多、需要云端集中管理或多园区汇聚的场景。

选型时可从四个维度判断：设备规模、部署位置、运维能力和扩展需求。若园区内设备在 500 台以内、以本地闭环控制为主，Mosquitto 足够；若需要跨区域汇聚、设备数上千、要与数据库或 Kafka 对接，EMQX 更合适。两者都支持 MQTT 3.1.1 与 MQTT 5.0，农业设备常用的 QoS 0/1、保留消息、遗嘱消息均可正常使用。

二、本地部署 Mosquitto 的关键配置

以 Ubuntu 22.04 本地服务器为例，安装后核心工作是修改 /etc/mosquitto/mosquitto.conf。下面是一份面向农业园区的示例配置，监听 1883 明文端口供内网调试，8883 端口启用 TLS 供设备正式接入：

listener 1883 0.0.0.0
allow_anonymous false
password_file /etc/mosquitto/passwd
acl_file /etc/mosquitto/aclfile

listener 8883 0.0.0.0
cafile   /etc/mosquitto/certs/ca.crt
certfile /etc/mosquitto/certs/server.crt
keyfile  /etc/mosquitto/certs/server.key
tls_version tlsv1.2

persistence true
persistence_location /var/lib/mosquitto/
max_connections 1000
max_keepalive 120

创建账号使用 mosquitto_passwd -c /etc/mosquitto/passwd farm_gateway，随后为每类设备建立独立账号，例如 sensor_node、valve_ctrl。ACL 文件按主题前缀授权，例如允许传感器只发布 farm/sensor/#，允许控制器订阅 farm/cmd/valve/#，从而避免设备越权操作其他设备。配置完成后执行 sudo systemctl restart mosquitto，再用 mosquitto_sub -h 127.0.0.1 -p 1883 -u sensor_node -P 密码 -t 'farm/sensor/#' -v 验证订阅是否成功。

三、云服务器部署 EMQX 与端口规划

云端部署 EMQX 可采用 Docker 方式，便于版本管理和迁移。示例启动命令如下：

docker run -d --name emqx \
  -p 1883:1883 -p 8883:8883 \
  -p 8083:8083 -p 18083:18083 \
  -v /data/emqx:/opt/emqx/data \
  emqx/emqx:5.6

端口规划需要与安全策略配套。1883 为 MQTT 明文端口，建议仅在内网或通过安全组限制来源 IP；8883 为 MQTT over TLS，是农业设备正式接入端口；8083 为 WebSocket 端口，供浏览器端监控页面使用；18083 是 EMQX Dashboard 管理端口，必须修改默认管理员密码，并限制为运维 IP 访问。云服务器安全组应遵循最小开放原则，例如只允许园区出口公网 IP 访问 8883，禁止 1883 对公网开放。

四、安全认证与主题权限设计

农业设备常部署在野外，凭证泄露风险较高，认证设计要兼顾安全与可维护性。推荐三层措施：第一，传输层强制 TLS，设备端预置 CA 证书，服务端证书使用真实域名签发；第二，身份层为每台设备分配唯一 clientId 与用户名密码，禁止多设备共用账号，便于故障定位和单设备封禁；第三，权限层通过 ACL 或 EMQX 认证授权规则，按 farm/{园区}/{设备类型}/{设备ID} 的主题结构授权，设备只能读写自身主题。对于水肥一体机等控制类设备，还应将控制指令主题设为仅允许特定服务账号发布，设备只订阅，防止恶意下发。

五、部署后的连通性验证

环境搭建完成后，应按“本地回环—内网设备—公网 TLS”的顺序逐级验证。先用 mosquitto_pub 向 farm/A01/sensor/TH-07/telemetry 发布一条 JSON 示例数据，观察订阅端是否收到；再用真实设备或模拟客户端通过 8883 端口连接，检查 TLS 握手与认证是否通过；最后在 Broker 日志中确认无频繁断连、无认证失败记录。若出现连接被拒，优先检查端口是否放行、证书域名是否匹配、用户名密码与 ACL 主题是否一致。完成这些验证，才算真正具备承载农业设备通信的 Broker 环境。