11 月，[NanoMQ](https://www.emqx.com/zh/products/nanomq) 繼續保持穩步更新，最新的 [0.14 版本](https://github.com/emqx/nanomq/releases/tag/0.14.1)已於本月初發布。此版本推出了使用者期待許久的 ACL 鑑權（Access Control List）服務，並引入了全新的 HOCON 格式的配置檔案。此外還縮減了釋出版本時生成的 Docker 映象的大小，並新增了帶有 QUIC 支援的完整功能版映象。

## ACL 鑑權

將 MQTT 服務用於 IoT 應用時，為了保證服務和資訊保安，需要 ACL 鑑權服務來防止惡意客戶端釋出錯誤資料和控制命令或訂閱未經允許的主題獲取敏感資料。NanoMQ 的 ACL 支援在眾多使用者呼聲中於 0.14 版本正式釋出。

目前 NanoMQ 支援透過在配置檔案中編寫規則來根據客戶端 ID 和使用者名稱配置鑑權規則。ACL 配置檔案風格和語法與 EMQX 4.x 版本相同。

此處給出部分常用的場景規則配置示例：

- 需要從系統主題讀取監控資料顯示在控制檯時，只允許使用者名稱是 dashboard 的客戶端訂閱“$SYS/#”系統主題，忽略有非法操作的客戶端：

```clean
  ## ACL 未命中時，允許或者拒絕 釋出/訂閱 操作
  ##
  ## Value: allow: 允許
  ##        deny:  拒絕
  acl_nomatch=allow
  ## ACL 檢查失敗後，執行的操作。
  ##
  ## Value: ignore:     忽略
  ##        disconnect: 斷開連線
  acl_deny_action=ignore
  
  # 允許使用者名稱是 dashboard 的客戶端訂閱 "$SYS/#" 這個主題
  acl.rule.1={"permit": "allow", "username": "dashboard", "action": "subscribe", "topics": ["$SYS/#"]}
  
  # 拒絕其他所有使用者訂閱 "$SYS/#" 主題
  acl.rule.2={"permit": "deny", "username": "#", "action": "subscribe", "topics": ["$SYS/#"]}
  ```

- 拒絕客戶端 ID 為“malicious”和使用者名稱為“unauthorized”的非法客戶端向匹配“sensitive/#”和“Command/+/critical”的所有主題進行釋出操作，並立刻斷開有非法行為的客戶端連線。

```ini
  acl_nomatch=allow
  acl_deny_action=disconnect
  
  # 拒絕操作
  acl.rule.1={"permit": "deny", "or" :["username": "unauthorized", "clientid": "malicious"], "action": "publish","topics": ["sensitive/#", "Command/+/critical"]}
  
  # 前面的規則都沒有匹配到的話，允許所有操作
  acl.rule.2={"permit": "allow"}
  ```

ACL 功能可以在編譯階段關閉來提高效能和剪裁大小：

```
cmake -DENABLE_ACL=OFF ..
```

未來會根據使用者需求和反饋，提供更強大的 ACL 功能，如正則匹配、客戶端 IP 匹配、關聯資料庫鑑權和 HTTP 鑑權等，歡迎大家[線上提交](https://github.com/emqx/nanomq)功能申請和反饋。

## 全新 HOCON 配置檔案

秉承 EMQX 5.0 的先進設計，NanoMQ 也採用了標準的 HOCON（Human-Optimized Config Object Notation/人性化配置物件表示法）作為配置檔案格式。HOCON 是一種更適合人類閱讀的資料格式，功能語法上是 JSON 和 properties 的一個超集，可以靈活擴充。它由 Lightbend 開發，同時也在 Sponge 和 Puppet 等專案中作為配置格式使用。

NanoMQ 為了保證專案原有的易移植性和高度相容性，使用原生 C 語言開發實現了一個[語法直譯器](https://github.com/nanomq/hocon)來完成部分 HOCON 功能的解析並轉換為 JSON 和內部結構體，使得使用者能夠在不引入其他依賴庫的情況下也能使用 HOCON 風格的配置檔案。從 0.14 版本開始，NanoMQ 以精簡版本的 HOCON 格式為預設的配置檔案。但考慮到許多老使用者仍然習慣於使用原有風格的配置檔案，所以舊的配置檔案也予以保留，可以透過-old_conf命令來讀取舊的配置檔案格式。

[![1](http://img.blog.itpub.net/blog/2022/12/08/23881cf1ce7e7b3e.jpeg?x-oss-process=style/bb "1")](https://www.emqx.com/zh/blog/nanomq-newsletter-202211 "1")

### 在鑑權和橋接配置中使用 HOCON 語法

在 HOCON 格式中不需要再為多次出現的配置檔案類目（如多個使用者名稱密碼鍵值對）增加數字下標。

```makefile
# #============================================================
# # Authorization 
 #============================================================
auth [
{
login = "admin"
password = "public"
}
{ 
login = "client"
password = "public"
}
  ......
]
```

對於複雜的配置層級關係，如多路橋接不分，能看到有更加明晰易讀的隸屬關係。

```routeros
bridges.mqtt {
    nodes = [
        {
            name = emqx1
            enable = true
            connector {
                server = "mqtt-tcp://127.0.0.1:1883"
            }
            forwards = ["topic1/#", "topic2/#"]
            subscription = [
                {
                    topic = "cmd/topic1"
                    qos = 1
                }
                {
                   (......)
                }
            ]
            parallel = 2,
            ssl {
                enable = false
                }
    }
    {
            name = emqx2
            enable = true
            connector {
                server = "mqtt-quic://127.0.0.1:14567"
            }
            forwards = ["topic1/#", "topic2/#"]
            subscription = [
                {
                    topic = "cmd/topic1"
                    qos = 1
                }
            ]
            (......)
    }
]
```

其餘功能的配置選項也根據 EMQX 5.0 的版本釋出略有更改，請查閱 NanoMQ 官方文件檢視更改後的配置檔案細則。

## 其他最佳化

### 裁剪 Docker 映象大小

NanoMQ 本身執行佔用資源極小，但自 0.11 版本起由於引入了 QUIC 功能，使得映象大小大大增加。為了幫助習慣採用 Docker 部署方式的使用者節省部署空間，從 0.14 版本開始，Dockerfile 改為採用交叉編譯方式釋出具有完整功能的 Release 映象。這一操作使得完整版映象的大小縮小了數十倍。預設拉取的 NanoMQ 的映象地址改為以 Alpine-Linux 為 base image 的版本，大小僅為 3MB。

MQTT over QUIC 橋接功能一經推出便得到了廣泛的試用和熱烈反響，但之前此功能必須透過原始碼編譯開啟，對於新手使用較為不便。自 0.14 版本起，NanoMQ 會自動一起釋出開啟 QUIC 支援的 Docker 映象和二進位制安裝包。使用者只需下載帶有 [-msquic](https://github.com/emqx/nanomq/releases/download/0.13.5/nanomq-0.13.5-linux-arm64-msquic.rpm) 字尾的安裝包或拉取帶有 -full 字尾的 Docker 即可：

```apache
## 內建開啟QUIC橋接功能的二進位制安裝包
nanomq-0.14.0-linux-amd64-msquic.deb
## 內建開啟QUIC橋接功能的Docker映象
docker pull emqx/nanomq:0.14.0-full
```

### 支援以共享庫形式啟動

不少使用者有從自有程式呼叫 API 來啟動 NanoMQ 的需求，或需要在 Android 或 iOS 移動端啟動 MQTT 服務。為支援此類需求，NanoMQ 也可以編譯成 .so 格式的動態連結庫供使用：

```routeros
cmake -G Ninja -DBUILD_SHARED_LIBS=ON ..
ninja
```

## Bug Fix

1. 修復了 QUIC 橋接中收到 Multi-Stream 功能影響造成的一個死鎖問題。
2. 修復了使用會話保持的客戶端的 QoS 1/2 訊息重發時，機率性順序異常的問題。
3. 修復了 QoS 1/2 訊息只會重發一次從而造成的訊息丟失。
4. 修復了 Android 平臺上透過動態連結庫使用 NanoMQ 時由於 POSIX 時鐘系統精度不足導致的計時器異常問題。
5. 更新了 NanoSDK 的 close_all API 使其能夠自動清理未完成的 AIO 避免執行緒阻塞。
6. 為 MQTT over QUIC 橋接連線下線事件訊息增加了MQTT V5 的 KeepAlive Timeout 錯誤碼。

## 即將到來

由於配置檔案格式更新，配置熱更新和 Reload 功能將推遲到下一個版本中正式釋出（只支援 HOCON 版本）。另外還將為 MQTT over QUIC 橋接功能增加 CUBIC/BBR 擁塞演算法支援，以獲取在不穩定頻寬的網路環境中更穩定的傳輸質量保證。

>版權宣告： 本文為 EMQ 原創，轉載請註明出處。
>
>原文連結：[https://www.emqx.com/zh/blog/nanomq-newsletter-202211](https://www.emqx.com/zh/blog/nanomq-newsletter-202211)

支援 ACL 訪問控制、引入 HOCON 全新配置檔案格式

相關文章