MQTT over TLS
8883 是 MQTT over TLS 的注册端口，IANA 名为 secure-mqtt。物联网设备与消息 Broker（Mosquitto、EMQX 等）之间用它在 TLS 之上传递消息，替代明文的 1883。设备口令、遥测数据与下发指令都在这条加密通道里走，生产与合规场景应优先使用它。
基本信息
| 服务 | MQTT over TLS（secure-mqtt） |
|---|---|
| 协议 | TCP/TLS |
| 对应明文口 | 1883 |
| 用途 | IoT 设备与 Broker 的加密通信 |
| 安全等级 | 面向设备网络，双向证书更佳 |
典型使用场景
- 设备上报遥测数据与运行状态到 Broker
- 云端向设备下发控制指令
- 合规要求传输加密时替代明文端口
- 排查设备批量掉线，确认证书有效期与信任链
- 评估是否启用双向证书，把设备身份纳入校验
Broker 配置与测试
Broker 配置与测试
listener 8883
cafile ca.crt
certfile server.crt
keyfile server.key
# 客户端测试
mosquitto_pub -h broker.example.com -p 8883 --cafile ca.crt -t test -m hello
mosquitto_sub -h broker.example.com -p 8883 --cafile ca.crt -t 'sensors/#' -vMQTT 端口对照
| 端口 | 用途 | 说明 |
|---|---|---|
| 1883 | 明文 MQTT | 仅测试或完全隔离的网段使用 |
| 8883 | MQTT over TLS | 生产环境推荐 |
| 8083/8084 | WebSocket 与加密 WebSocket | 常见实现提供，供浏览器端接入 |
| 双向证书 | TLS 客户端认证 | 需要设备唯一证书与吊销机制 |
证书运维是主要成本：设备数量大时，证书下发、轮换与吊销都需要专门流程。生产事故里最常见的一类就是证书到期导致整批设备同时掉线，建议在平台侧做到期提醒，并保留应急的换证通道。
只开 TLS 不校验客户端身份，等于把加密通道对所有人开放：任何知道地址的设备都能连上并订阅他人主题。设备接入应配合账号口令或双向证书，并把 Broker 的可达范围限制在设备网络内。
实现差异：不同 Broker 的默认监听端口与命名并不完全一致，部分产品把加密接入放在其他编号上，部署前以实际配置文件为准。容器化部署时还要确认容器内监听地址与宿主机端口映射是否一致。
端口选择提示：同一台 Broker 上明文与加密监听并存很常见，做资产核查时应分别记录两个端口，避免用一条记录代表两种暴露面。