MQTT 与 1883 端口
1883 是 MQTT 的默认端口，承载明文的发布订阅协议；8883 是叠加 TLS 的版本，8083 与 8084 常被用于以 WebSocket 承载 MQTT。消息由 Broker 按主题转发，客户端之间不直接通信，因此 Broker 的访问控制决定了整个平台的安全边界。默认允许匿名连接时，任何人都能订阅到全部主题，甚至伪造指令下发控制报文。
基本信息
| 服务 | MQTT Broker（Mosquitto、EMQX、HiveMQ 等） |
|---|---|
| 协议 | TCP（1883 明文，8883 为 TLS） |
| 相关端口 | 8083/8084 常见于 WebSocket 承载 |
| 认证方式 | 匿名、用户名口令、客户端证书 |
| 权限模型 | 按主题的发布与订阅权限（ACL） |
| 常见用途 | 物联网设备上报、指令下发、消息推送 |
典型使用场景
- 设备数据上报：传感器定时向约定主题推送采集数据
- 指令下发：平台向设备主题发布控制报文
- 多端同步：移动端与后台通过 Broker 保持状态一致
- 弱网环境消息投递：借助 QoS 与保留消息机制提高到达率
- 作为轻量消息中间件，替代自建长连接推送服务
连通性与订阅自检
连通性与订阅自检
ss -lntp | grep -E ':1883|:8883' # 确认监听地址与端口
mosquitto_sub -h 10.0.0.30 -p 1883 -t '#' -v -C 5 # 订阅全部主题取五条，能收到即说明匿名可用
mosquitto_pub -h 10.0.0.30 -p 1883 -t test/ping -m hello # 匿名发布测试
mosquitto_sub -h 10.0.0.30 -p 8883 --cafile ca.crt -t 'sensors/#' -v # TLS 版本订阅端口与用途对照
| 端口 | 承载方式 | 要点 |
|---|---|---|
| 1883 | 明文 MQTT | 仅限内网，跨网段必须换 8883 |
| 8883 | TLS 上的 MQTT | 需校验证书，推荐用于生产 |
| 8083 | WebSocket 明文 | 常见于前端页面接入，仍需认证 |
| 8084 | WebSocket over TLS | 用于浏览器端加密接入 |
Broker 加固要点（mosquitto.conf）
Broker 加固要点（mosquitto.conf）
listener 1883 10.0.0.30 # 绑定内网地址，避免全网卡监听
allow_anonymous false # 关闭匿名连接
password_file /etc/mosquitto/passwd # 启用口令认证
acl_file /etc/mosquitto/acl # 按主题限制发布与订阅范围
log_type all # 开启日志，便于审计异常订阅匿名连接加上订阅通配符，等于把全部设备数据交给任何能连通端口的人；生产环境必须关闭匿名、启用认证并按主题授权。
QoS 与保留消息会改变行为：保留消息会让新订阅者立即收到最后一条状态，调试时看到旧数据不要误判为设备在持续上报；排查重复投递时先确认 QoS 等级。
排障顺序：先用命令行工具分别验证连接、认证与主题权限三层，再回头查设备端配置；多数上不了线的问题是主题权限或客户端 ID 冲突，而不是网络不通。