Debian 上 RabbitMQ 的网络配置指南
一 配置文件与生效方式
- 配置文件位置与格式：Debian 的 RabbitMQ 主配置文件为 /etc/rabbitmq/rabbitmq.conf（新风格 INI 格式）。如需使用旧式 Erlang 结构，可额外放置 advanced.config。两者可并存，主配置优先使用新格式。通过环境变量可覆盖路径与节点名，例如 RABBITMQ_CONFIG_FILE、RABBITMQ_NODENAME。修改后需重启服务生效。
- 生效验证：查看节点启动日志首部可确认加载的配置文件；使用 rabbitmqctl environment 可打印“有效配置”（用户值合并默认值），用于核对实际生效项。
- 管理界面端口：启用管理插件后，管理 HTTP 端口默认为 15672，可在配置中调整 management.tcp.port。
- 常用命令：
- 重启：sudo systemctl restart rabbitmq-server
- 状态：sudo systemctl status rabbitmq-server
- 插件：sudo rabbitmq-plugins enable rabbitmq_management
- 查看监听：ss -lntp | egrep ‘5672|15672|25672’ 或 lsof -i -P | grep beam
二 监听与端口规划
- 基础监听（AMQP 0-9-1）：默认 5672/TCP。可绑定到指定接口，例如仅本地回环：
- listeners.tcp.local = 127.0.0.1:5672
- listeners.tcp.local_v6 = ::1:5672
- 仅启用 TLS：可禁用明文监听
- listeners.tcp = none
- listeners.ssl.default = 5671
- 管理界面：
- management.tcp.port = 15672（如需修改默认端口）
- 集群通信端口：
- 节点间 Erlang 分发端口默认为 25672/TCP（用于集群心跳与镜像同步等），需放通防火墙。
- 端口放通示例（UFW）：
- sudo ufw allow 5672/tcp
- sudo ufw allow 5671/tcp
- sudo ufw allow 15672/tcp
- sudo ufw allow 25672/tcp
- 生产环境建议仅开放必要端口，并限制来源网段。
三 地址绑定与访问控制
- 绑定特定接口或地址族：通过 listeners.tcp. 指定 IP:端口，或在环境变量/rabbitmq-env.conf 中设置 NODE_IP_ADDRESS 限定监听地址。
- 回环限制：默认用户 guest 仅允许从回环地址访问。如需远程访问，务必创建专用管理员用户，并保留默认安全策略：
- loopback_users.guest = true（默认，仅本地）
- 如需允许 guest 远程（不推荐）：loopback_users.guest = false
- 建议做法：
- 创建管理员：rabbitmqctl add_user admin StrongPass!
- 赋权：rabbitmqctl set_user_tags admin administrator
- 赋权 vhost：rabbitmqctl set_permissions -p / admin “." ".” “.*”
- 禁用或删除默认 guest 的远程登录能力。
四 TLS 加密配置
- 证书准备（示例）：
- 自建 CA：openssl req -x509 -newkey rsa:4096 -keyout ca_key.pem -out ca_cert.pem -days 3650 -nodes -subj “/CN=MyCA”
- 服务器证书：
- openssl req -newkey rsa:4096 -keyout server_key.pem -out server_csr.pem -nodes -subj “/CN=your_hostname”
- openssl x509 -req -in server_csr.pem -CA ca_cert.pem -CAkey ca_key.pem -CAcreateserial -out server_cert.pem -days 3650
- 服务端启用 TLS（/etc/rabbitmq/rabbitmq.conf.d/ssl.conf 或直接写入主配置）：
- listeners.ssl.default = 5671
- ssl_options.cacertfile = /etc/rabbitmq/ca_cert.pem
- ssl_options.certfile = /etc/rabbitmq/server_cert.pem
- ssl_options.keyfile = /etc/rabbitmq/server_key.pem
- ssl_options.verify = verify_peer
- ssl_options.fail_if_no_peer_cert = true（可选，双向 TLS）
- 重启与放通：sudo systemctl restart rabbitmq-server；sudo ufw allow 5671/tcp
- 验证：
- rabbitmqctl status 应显示 SSL 监听
- 客户端连接端口使用 5671 并提供 CA/客户端证书（如启用双向 TLS）
五 性能与网络调优要点
- 并发接受器：提升 num_acceptors.tcp / num_acceptors.ssl（如 10 或更高）可增加新连接接纳能力。
- 握手与解析：
- handshake_timeout = 10000（毫秒，默认 10s）
- reverse_dns_lookups = false（避免额外 DNS 查询，提升吞吐）
- TCP 参数：
- 缓冲区：rabbit.tcp_listen_options.sndbuf / recbuf（如 192KB，视内存与带宽权衡）
- 禁用 Nagle：nodelay = true（RabbitMQ 默认已为 true）
- 未处理连接队列：backlog（默认 128，高并发可适当增大）
- 系统层面：确保打开文件句柄与内核网络参数（如 somaxconn、tcp_tw_reuse 等）匹配预期并发；必要时结合队列与连接限流策略。
