📚 课程目录第1章课程导学与实验环境准备

1. 课程导学与实验环境准备：MQTT与TLS概述、课程目标、实验环境搭建

各位同学好，我是你们这门课的老朋友。在网络安全这行摸爬滚打了十几年，MQTT 和 TLS 算是我最熟悉的搭档之一。今天咱们开始第一讲，先把地基打牢。

说实话，我见过太多项目因为通信加密没做好而出问题。有的是数据被窃听，有的是设备被冒充。说白了，MQTT 本身是个轻量级协议，它只管“传消息”，不管“传得安不安全”。那怎么让它安全？就得靠 TLS 这个保镖。

1.1 为什么 MQTT 需要 TLS？

MQTT 协议设计之初，主要面向的是低带宽、低功耗的物联网设备。它默认走明文传输。你想想看，如果传感器采集的温度、湿度、或者更敏感的设备控制指令，在网络上裸奔，那后果是什么？

窃听：攻击者抓包就能看到所有数据内容。
篡改：中间人修改你的指令，比如把“关闭阀门”改成“打开阀门”。
冒充：伪造一个假客户端，往你的 Broker 里灌垃圾数据。

⚠️ 我曾经在项目验收时发现，某工厂的 MQTT 网关居然还在用 1883 端口跑明文。一问才知道，开发人员觉得“内网很安全”。结果呢？内网一台打印机被攻破，整个 MQTT 流量被嗅探了三天。从那以后，我坚持所有生产环境必须启用 TLS。

TLS 加密能解决这三个问题：它提供身份验证（证书）、数据加密（防窃听）、完整性校验（防篡改）。说白了，就是给你的 MQTT 通信穿上一件防弹衣。

1.2 课程目标：你能学到什么？

这门课不是纯理论，咱们要动手。30 章下来，我希望你能掌握以下核心能力：

能力维度	具体内容	实战产出
证书体系	CA 根证书、服务端证书、客户端证书的生成与管理	一套完整的自签名 PKI 体系
Mosquitto 配置	TLS 单向/双向认证配置、端口监听、ACL 策略	一个生产可用的加密 MQTT 网关
OpenSSL 操作	密钥生成、CSR 签发、证书格式转换、有效期管理	证书自动化运维脚本
故障排查	常见 TLS 握手失败原因分析、日志解读	一套排错方法论

  💡 我个人习惯是，每学完一章就立刻在虚拟机里复现一遍。别光看，动手敲命令才是真掌握。

1.3 实验环境概览

工欲善其事，必先利其器。咱们的实验环境由三部分组成：

操作系统：Ubuntu 22.04 LTS（稳定，社区活跃）
MQTT Broker：Mosquitto（开源、轻量、支持 TLS）
证书工具：OpenSSL（业界标准，功能强大）

下面这张图展示了咱们整个课程的核心逻辑：从裸机环境开始，一步步搭建起一个具备 TLS 加密能力的 MQTT 网关。

1.4 环境搭建：一步一步来

好，理论说完了，咱们开始动手。我建议你准备一台干净的 Ubuntu 22.04 虚拟机或者云服务器。下面几步，跟着敲就行。

1.4.1 更新系统包

先把系统源更新到最新，避免依赖冲突。

sudo apt update
sudo apt upgrade -y

1.4.2 安装 Mosquitto 和客户端工具

Mosquitto 在 Ubuntu 的默认源里就有，直接安装。

sudo apt install -y mosquitto mosquitto-clients

🔧 小提示：安装完成后，先别急着启动。咱们后面配置 TLS 时需要修改配置文件。默认情况下，Mosquitto 会监听 1883 端口（明文），我们后面会改成 8883（加密）。

1.4.3 安装 OpenSSL

Ubuntu 22.04 默认自带 OpenSSL 3.0，但最好确认一下版本。

sudo apt install -y openssl
openssl version

你应该会看到类似 OpenSSL 3.0.2 15 Mar 2022 的输出。嗯，版本没问题。

1.4.4 验证安装

咱们快速验证一下 Mosquitto 是否能正常运行。

# 启动 Mosquitto 服务
sudo systemctl start mosquitto
sudo systemctl status mosquitto

# 测试发布和订阅（另开一个终端）
# 终端1：订阅
mosquitto_sub -h localhost -t "test/topic" -v
# 终端2：发布
mosquitto_pub -h localhost -t "test/topic" -m "Hello MQTT"

如果终端1收到了 Hello MQTT，说明环境跑通了。这里用的是明文，别担心，后面咱们会一步步加上 TLS。

1.5 目录结构规划

我个人习惯把证书和配置分开管理，这样后期维护起来清晰。咱们在课程中会使用以下目录结构：

/home/ubuntu/mqtt-tls-lab/
├── ca/                  # CA 根证书相关
│   ├── ca.key
│   └── ca.crt
├── server/              # 服务端证书
│   ├── server.key
│   ├── server.csr
│   └── server.crt
├── client/              # 客户端证书
│   ├── client.key
│   ├── client.csr
│   └── client.crt
├── mosquitto.conf       # Mosquitto 配置文件
└── logs/                # 日志目录

  💡 建议：现在就创建这个目录结构。后面每一章生成的文件，都放到对应的文件夹里。别偷懒，好习惯能帮你省下大量排错时间。

1.6 本章小结

这一章咱们把课程目标、实验环境都理清楚了。你知道了 MQTT 为什么需要 TLS，也亲手搭好了 Ubuntu + Mosquitto + OpenSSL 的基础环境。说白了，地基已经挖好了，下一章咱们就开始打桩——生成第一张证书。

记住我常说的那句话：安全不是配置出来的，是设计出来的。从环境搭建这一刻起，就要有安全意识。