在Vernemq中启用多个身份验证/授权插件

Question

在Vernemq中的身份验证/授权方面，我希望将检查多个启用插件，以确定是否允许连接/pub/sub。

但是，我在部署中经历了不同的结果。

如果只有一个auth插件 - vmq.acl或vmq.viversity - 启用，则可以按预期工作。 但是，在启用了两个插件时，仅vmq.diversity似乎正在工作。

我想问的是：

1. 这是vernemq的预期行为？

2. 如果没有，如何启用多个auth插件？

3. 启用了多个auth插件，以什么顺序检查？

vernemq服务通过Docker组成，如下所述。

# docker-compose.yaml

services:
  vernemq:
    image: vernemq/vernemq
    container_name: vernemq_broker
    environment:
      - DOCKER_VERNEMQ_ACCEPT_EULA=yes

      - DOCKER_VERNEMQ_ALLOW_ANONYMOUS=off

      - DOCKER_VERNEMQ_PLUGINS__VMQ_PASSWD=on
      - DOCKER_VERNEMQ_PLUGINS__VMQ_ACL=on
      - DOCKER_VERNEMQ_VMQ_ACL__ACL_RELOAD_INTERVAL=10

      - DOCKER_VERNEMQ_PLUGINS__VMQ_DIVERSITY=on
      
      - DOCKER_VERNEMQ_VMQ_DIVERSITY__AUTH_POSTGRES__ENABLED=on
      - DOCKER_VERNEMQ_VMQ_DIVERSITY__POSTGRES__HOST=auth_db
      - DOCKER_VERNEMQ_VMQ_DIVERSITY__POSTGRES__PORT=5432
      - DOCKER_VERNEMQ_VMQ_DIVERSITY__POSTGRES__USER=postgres
      - DOCKER_VERNEMQ_VMQ_DIVERSITY__POSTGRES__PASSWORD=password
      - DOCKER_VERNEMQ_VMQ_DIVERSITY__POSTGRES__DATABASE=postgres
      - DOCKER_VERNEMQ_VMQ_DIVERSITY__POSTGRES__PASSWORD_HASH_METHOD=crypt
      
      # insecure approach to setting password - for testing/development only
      - DOCKER_VERNEMQ_USER_file_user1=file_user1_password
      - DOCKER_VERNEMQ_USER_file_user2=file_user2_password

      - DOCKER_VERNEMQ_LOG__CONSOLE__LEVEL=debuga
    volumes:
      - ./vernemq/vmq.acl:/etc/vernemq/vmq.acl
    ports:
      - 1883:1883
    depends_on:
      - auth_db
  auth_db:
    image: postgres:latest
    container_name: vernemq_auth_db
    environment:
      - POSTGRES_PASSWORD=password
      - POSTGRES_USER=postgres
      - POSTGRES_DB=postgres
    volumes:
      - ./auth_db/init-db.sql:/docker-entrypoint-initdb.d/init-db.sql
    ports:
      - 5432:5432
    expose:
      - 5432

# vmq.acl

user file-user1
topic private/file/#
topic public/#

user file-user2
topic private/file/#
topic public/#

身份验证数据库用脚本初始化：

-- init-db.sql

CREATE EXTENSION pgcrypto;
CREATE TABLE IF NOT EXISTS vmq_auth_acl (
    mountpoint character varying(10) NOT NULL,
    client_id character varying(128) NOT NULL,
    username character varying(128) NOT NULL,
    password character varying(128),
    publish_acl json,
    subscribe_acl json,
    CONSTRAINT vmq_auth_acl_primary_key PRIMARY KEY (mountpoint, client_id, username)
);

CREATE OR REPLACE PROCEDURE insert_user(user_ref text)
LANGUAGE SQL AS 
$$ 
  WITH x AS (
    SELECT ''::text AS mountpoint,
    CONCAT('db-', user_ref, '-client-id')::text AS client_id, -- eg: 'db-user1-client-id'
    CONCAT('db-', user_ref)::text AS username, -- eg: 'db-user1'
    CONCAT('db-', user_ref, '-password')::text AS password, -- eg: 'db-user1-password'
    gen_salt('bf')::text AS salt,
    '[{"pattern": "private/db/#"}, {"pattern": "public/#"}]'::json AS publish_acl,
    '[{"pattern": "private/db/#"}, {"pattern": "public/#"}]'::json AS subscribe_acl
  )
  INSERT INTO vmq_auth_acl (
    mountpoint,
    client_id,
    username,
    password,
    publish_acl,
    subscribe_acl
  )
  SELECT
    x.mountpoint,
    x.client_id,
    x.username,
    crypt(x.password, x.salt),
    publish_acl,
    subscribe_acl
  FROM x ON CONFLICT (mountpoint, client_id, username) DO NOTHING;
$$;
--
--
CALL insert_user('user1'); -- inserts row for user 'db-user1'
CALL insert_user('user2'); -- inserts row for user 'db-user2'

使用上述配置和文件，以下插件下定义了以下用户。

1. 基于文件的身份验证 - vmq.passwd插件

   • file-user1
   • file-user2

2. 通过Postgres数据库身份验证 - vmq.diversity插件

   • db-user1
   • db-user2

当启用两个插件时，仅数据库中定义的用户是能够身份验证并连接。

Answer 1

通常，身份验证插件（实现auth_on_register -hook）将对经纪人提供内部响应。如果插件对客户端进行身份验证，则响应将为ok。响应也可以是下一个告诉代理当前插件无法验证客户端，因此代理应该只需检查next插件即可。

这主要是一种允许用户链接自己的插件的方法。由于与蚊子格式兼容的原因，它没有针对基于文件的插件实现。
但是，您可以轻松地在vmq_diversity插件中实现链条，因为您可以调整LUA脚本。

  1。这是Vernemq的预期行为吗？
 

现在，是的，请参见上述说明

  2。如果没有，如何启用多个auth插件？
 

通过使插件返回下一个而不是身份验证错误。然后，Verne将只需遍历所有插件，直到它用尽插件来询问。您将始终看到典型的plugin_chain_exhausted记录为被拒绝客户端的原因。让我知道您何时需要更多帮助。

  3。启用了多个auth插件，他们以什么顺序进行检查？
 

按负载顺序检查它们（无论是通过vernemq.conf文件内部加载插件，还是通过插件启用命令在外部加载插件）。该顺序也应在vmq-admin插件show命令中可见。