Komunikace komunikační protokolem MQTT

MQTT (Message Queuing Telemetry Transport) je jednoduchý "Internet of Things" komunikační protokol, který je založen na modelu publikování a odběru zpráv. Centrální prvek Broker spravuje příjem, uchování a zasílání zpráv mezi klienty.
Klient může být typu Publisher (vydavatel), typu Subscriber (odběratel) nebo dokonce Publisher a Subscriber současně.
Klient typu Publisher zasíla zpráv na určité téma (topic) Broker serveru, který plní roli prostředníka mezi vydavateli a odběrateli.
Téma je něco jako adresa doručení nebo ještě přesněji složka v počítači. Ty jsou hierarchicky uspořádána a tvoří flexibilní datovou strukturu oddělenou lomítky (např. zarizeni/senzor1/stav).
Umožňují dynamicky odebírat jak jednotlivé témata, tak celé skupiny najednou. Toho lze dosáhnout pomoci tzv. wildcard(*) (např. zarizeni/*/stav). Publisher může být například čidlo nebo měřič.
Opakem je Subscriber, který se příhlásí k odběru daného tématu. Když Publisher zašle pro stéjné téma nová data, Broker je obratem přepošle všem Subscriberum přihlášeným k odběru. Subscriber se může přihlásit k odběru libovolného počtu témat, nebo se z odběru odhlásit.
Díky tomu, že klienti komunikují pouze se zprostředkovatelem (Broker serveru), nemusí znát topologii sítě, ani nepotřebují vědět navzájem o svojí existenci. Vystačí si pouze s informací, jak se spojit s Broker serverem.

Klient se přihlašuje pomocí unikátního "ClientID" a nepovinného uživatelského jména "Username" a hesla "Password".

Protokol MQTT definuje tři úrovně potvrzení zpráv QoS (Quality of Service)

Klient typu Publisher může zasílat zprávy s příznaky Retain a DUP.

Podpora TLS v 1.3 je implementována od verze Pm9.0.35.
Zabezpečenou komunikaci zapíná konfigurátor "Zabezpečené připojení (TLS)". Dále je třeba změnit hodnotu v konfigurátoru "Číslo vzdáleného TCP/UDP portu" na 8883 pro TLS nebo 8884 pro mTLS (mutual TLS).

Podle požadované úrovně šifrování komunikace, protokol MQTT předepisuje následující 3 síťové porty: Viz: Wikipedia: Seznam čísel portů TCP a UDP používaných protokoly pro provoz síťových aplikací.

Pokud je povolené zabezpečené připojení, pak je třeba importovat certifikáty do Uložiště certifikátů Windows. Ověřit přítomnost certifíkátu lze spuštěním certmgr.msc, který otevře Windows certificate manager. Klient musí mít ve složce Důvěryhodné kořenové certifikační autority certifikát Broker serveru případně všech článků řetezce důvěry. Na server nejsou kladeny žádné dálší nároky pro komunikaci přes TLS.
Je-li však vyžadováno mTLS, klient musí dále mít ve složce Osobní importován svůj vlastní certifikát a svou certifikační autoritu včetně klíčů. Na druhé straně server musí mít ve složce Důvěryhodné osoby importovan certifikát klienta a ve složce Důvěryhodné kořenové certifikační autority kořenový CA certifikát klienta (certifikát, který sloužil k podpisu certifikátu klienta).
Důležité: Privátní klíče nesmí nikdy opustit zařízení, ke kterému patří. Certifikáty uložene ve složce Osobní jsou opatřeny privátním klíčem (malá ikonka klíče u certifikátu). V ostatních adresářích jsou importovány bez privátního klíče.

Omezení: Pokud jsou certifikáty obou stran zastřešeny veřejně důvěryhodnou certifikační autoritou (např. Let's Encrypt, GlobalSign, PostSignum), pak není vůbec nutné importovat certifikáty opačné strany. Tyto certifikáty jsou obvykle přednastaveny. V případě potřeby je třeba provést aktualizaci Uložiště certifikátů Windows, aby obsahoval poslední verze.
V případě, že tomu tak není a vše spoléhá na tzv. self-signed certifikáty, klient musí mít nainstalovaný certifikát Broker serveru. Pro mTLS je vyžadováno oboustranné ověření identit, proto i Broker server musí mít nainstalovaný certifikát klienta.

Odkazy a návody