MQTT mit TLS und eigener CA

[tvand]

In der Dokumentation nicht erwähnt, aber im Code realisiert: Man kann den MQTT-Broker auch verschlüsselt anbinden. Gut für Leute mit Paranoia wie mich.

Das sieht dann so aus:

# mqtt message broker
mqtt:
  broker: tls://mqtt.xxx.yyy:8883
  topic: evcc 
  clientid: evcc

Ich habe auf dem Broker ein Zertifikat signiert meiner eigenen CA installiert. Das ging bisher gut. Go erfordert aber ein Zertifikat mit gesetztem SAN-Feld (Subject Alternative Names). Das ist mit openssl nicht ganz so trivial, es gibt aber Anleitungen dafür.

Da evcc bisher das Spezifizieren einer eigenen CA nicht unterstützt, muss man sich mit Systemmitteln behelfen. Auf allerlei üblichen Linuxen kann man eigene CAs mit update-ca-certificates hinzufügen. Wo man die ablegen muss, ist je nach Distribution verschieden, bei meiner Synology ist es hier:

/usr/syno/etc/security-profile/ca-bundle-profile/ca-certificates/

Hier muss man auch /usr/syno/bin/update-ca-certificates.sh aufrufen, damit das Bundle /etc/ssl/certs/ca-certificates.crt zusammengebaut wird. Läuft evcc nativ, ist das schon alles.

Bei mir läuft evcc aber als Docker-Image, so dass man das Bundle noch in den Container mounten muss:

Dann funktioniert auch die Kommunikation:

[andig]

Stark!