Ubuntu 22.04 部署 RabbitMQ 4.3：APT 源安装与 5 个关键安全配置

Ubuntu 22.04 部署 RabbitMQ 4.3：APT 源安装与 5 个关键安全配置

RabbitMQ 作为企业级消息队列中间件，在分布式系统解耦、异步通信和流量削峰等场景中扮演着关键角色。本文将详细介绍在 Ubuntu 22.04 生产环境中通过官方 APT 源部署 RabbitMQ 4.3 的完整流程，并重点解析五个必须实施的安全加固措施。

1. 环境准备与依赖安装

在开始安装前，确保系统已更新至最新状态并安装必要工具：

sudo apt update && sudo apt upgrade -y sudo apt install -y curl gnupg apt-transport-https

RabbitMQ 依赖 Erlang 运行时环境，官方推荐使用 Team RabbitMQ 提供的 APT 仓库。执行以下命令添加仓库密钥：

curl -1sLf "https://keys.openpgp.org/vks/v1/by-fingerprint/0A9AF2115F4687BD29803A206B73A36E6026DFCA" | sudo gpg --dearmor | sudo tee /usr/share/keyrings/com.rabbitmq.team.gpg > /dev/null

添加 Erlang 和 RabbitMQ 的 APT 源配置：

# 添加Erlang仓库 curl -1sLf "https://dl.cloudsmith.io/public/rabbitmq/rabbitmq-erlang/setup.deb.sh" | sudo -E bash # 添加RabbitMQ主仓库 curl -1sLf "https://dl.cloudsmith.io/public/rabbitmq/rabbitmq-server/setup.deb.sh" | sudo -E bash

2. APT 源安装 RabbitMQ 4.3

更新软件包索引并安装 RabbitMQ：

sudo apt update sudo apt install -y rabbitmq-server=4.3.*

安装完成后，系统会自动创建rabbitmq用户和组，并启动服务。验证服务状态：

sudo systemctl status rabbitmq-server

关键目录说明：

• 配置文件目录：/etc/rabbitmq/
• 数据存储目录：/var/lib/rabbitmq/
• 日志目录：/var/log/rabbitmq/

3. 基础安全加固措施

3.1 删除默认 guest 用户

RabbitMQ 默认创建的 guest/guest 账户仅限本地访问，但生产环境建议彻底删除：

sudo rabbitmqctl delete_user guest

3.2 创建管理员账户

使用强密码策略创建新管理员（密码应包含大小写字母、数字和特殊字符）：

sudo rabbitmqctl add_user admin [你的强密码] sudo rabbitmqctl set_user_tags admin administrator sudo rabbitmqctl set_permissions -p / admin ".*" ".*" ".*"

3.3 配置防火墙规则

开放必要端口同时限制访问来源：

sudo ufw allow 5672/tcp comment 'AMQP default port' sudo ufw allow 15672/tcp comment 'Web management UI' sudo ufw allow 25672/tcp comment 'Erlang distribution' sudo ufw enable

提示：实际生产环境中应通过sudo ufw allow from [特定IP] to any port 5672限制访问源IP

3.4 数据目录权限控制

确保数据目录仅限 rabbitmq 用户访问：

sudo chown -R rabbitmq:rabbitmq /var/lib/rabbitmq/ sudo chmod 700 /var/lib/rabbitmq/

3.5 启用 TLS 加密通信

生成自签名证书（生产环境建议使用 CA 签发证书）：

sudo mkdir -p /etc/rabbitmq/ssl cd /etc/rabbitmq/ssl # 生成CA私钥和证书 openssl req -newkey rsa:2048 -nodes -keyout ca.key -x509 -days 3650 -out ca.crt -subj "/CN=RabbitMQ CA" # 生成服务器证书 openssl genrsa -out server.key 2048 openssl req -new -key server.key -out server.csr -subj "/CN=$(hostname)" openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out server.crt -days 365

配置 RabbitMQ 启用 TLS，编辑/etc/rabbitmq/rabbitmq.conf：

listeners.ssl.default = 5671 ssl_options.cacertfile = /etc/rabbitmq/ssl/ca.crt ssl_options.certfile = /etc/rabbitmq/ssl/server.crt ssl_options.keyfile = /etc/rabbitmq/ssl/server.key ssl_options.verify = verify_peer ssl_options.fail_if_no_peer_cert = true

4. 高级安全配置

4.1 限制虚拟主机访问

为不同业务创建独立的虚拟主机：

sudo rabbitmqctl add_vhost /prod sudo rabbitmqctl set_permissions -p /prod admin ".*" ".*" ".*"

4.2 启用审计日志

编辑配置文件/etc/rabbitmq/rabbitmq.conf添加：

log.file.level = info log.connection.level = info log.channel.level = info

日志轮转配置示例（/etc/logrotate.d/rabbitmq-server）：

/var/log/rabbitmq/*.log { daily missingok rotate 30 compress delaycompress notifempty sharedscripts postrotate systemctl reload rabbitmq-server >/dev/null 2>&1 || true endscript }

4.3 配置密码策略

安装密码强度插件：

sudo rabbitmq-plugins enable rabbitmq_password_policy

在配置文件中添加密码策略：

password_hashing.algorithm = sha256 password_policy.min_length = 12 password_policy.require_upper = true password_policy.require_lower = true password_policy.require_digit = true password_policy.require_special = true

5. 管理界面与监控

启用管理插件并配置 HTTPS：

sudo rabbitmq-plugins enable rabbitmq_management

生成管理界面使用的 SSL 证书（复用之前的 CA）：

openssl genrsa -out management.key 2048 openssl req -new -key management.key -out management.csr -subj "/CN=management" openssl x509 -req -in management.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out management.crt -days 365

配置/etc/rabbitmq/rabbitmq.conf：

management.listener.port = 15672 management.listener.ssl = true management.listener.ssl_opts.cacertfile = /etc/rabbitmq/ssl/ca.crt management.listener.ssl_opts.certfile = /etc/rabbitmq/ssl/management.crt management.listener.ssl_opts.keyfile = /etc/rabbitmq/ssl/management.key

6. 生产环境检查清单

部署完成后，使用以下检查清单验证配置：

1. 服务状态验证：

   sudo rabbitmqctl status | grep -E 'running_applications|listeners'

2. 端口开放验证：

   sudo ss -tulnp | grep beam

3. TLS 连接测试：

   openssl s_client -connect localhost:5671 -CAfile /etc/rabbitmq/ssl/ca.crt

4. 用户权限审计：

   sudo rabbitmqctl list_users sudo rabbitmqctl list_permissions

5. 安全扫描建议：

   • 使用nmap进行端口扫描验证防火墙规则
   • 使用openssl测试证书有效期和加密强度
   • 定期检查/var/log/rabbitmq/目录下的日志文件

关键配置文件备份建议：

sudo tar -czvf rabbitmq_config_backup_$(date +%Y%m%d).tar.gz /etc/rabbitmq/