1. 项目概述基于mbedtls的SSL客户端实现在嵌入式系统和资源受限环境中实现安全通信一直是个技术难点。mbedtls前身PolarSSL作为轻量级加密库完美解决了这个问题。它提供了SSL/TLS协议的全套实现代码量仅占OpenSSL的十分之一左右特别适合嵌入式Linux、RTOS等环境。我最近在工控设备上部署了一个安全通信模块需要在不超100KB内存占用的前提下实现双向认证。经过对比测试最终选择了mbedtls 2.28版本。实测发现一个完整的TLS 1.2握手过程mbedtls仅需约50KB的堆内存而同样场景下OpenSSL至少要消耗300KB。2. 环境准备与库配置2.1 开发环境搭建推荐使用VSCode配合gcc工具链进行开发。安装必备组件sudo apt install build-essential gcc-arm-none-eabi # 交叉编译工具链对于Windows平台可以使用MSYS2环境pacman -S mingw-w64-x86_64-gcc2.2 mbedtls库获取与编译从官方仓库获取最新稳定版git clone https://github.com/Mbed-TLS/mbedtls.git cd mbedtls git checkout mbedtls-2.28.2 # 使用稳定版本编译配置建议make CCgcc CFLAGS-O2 -fPIC # 标准编译选项 sudo make install关键配置选项说明MBEDTLS_SSL_MAX_CONTENT_LEN默认16KB可根据实际报文大小调整MBEDTLS_HAVE_TIME需要校验证书有效期时必须开启MBEDTLS_DEBUG_C调试时建议启用注意嵌入式环境编译时需特别关注MBEDTLS_NO_PLATFORM_ENTROPY配置在没有硬件随机数生成器的设备上要启用替代方案。3. SSL客户端核心实现3.1 基础数据结构初始化典型的SSL客户端需要初始化以下核心结构体mbedtls_ssl_context ssl; mbedtls_ssl_config conf; mbedtls_x509_crt cacert; // CA证书 mbedtls_entropy_context entropy; mbedtls_ctr_drbg_context ctr_drbg;初始化顺序必须严格遵守熵源和随机数生成器SSL配置SSL上下文证书链示例代码mbedtls_ssl_init(ssl); mbedtls_ssl_config_init(conf); mbedtls_x509_crt_init(cacert); mbedtls_entropy_init(entropy); mbedtls_ctr_drbg_init(ctr_drbg); // 随机数生成器种子 const char* pers ssl_client; mbedtls_ctr_drbg_seed(ctr_drbg, mbedtls_entropy_func, entropy, (const unsigned char*)pers, strlen(pers));3.2 证书加载与验证双向认证时需要加载客户端证书和私钥mbedtls_x509_crt_init(clicert); mbedtls_pk_init(pkey); // 加载CA证书 ret mbedtls_x509_crt_parse_file(cacert, ca.crt); if(ret ! 0) { printf(Failed to load CA cert: -0x%x\n, -ret); goto exit; } // 加载客户端证书链 ret mbedtls_x509_crt_parse_file(clicert, client.crt); // 加载私钥 ret mbedtls_pk_parse_keyfile(pkey, client.key, );证书验证配置mbedtls_ssl_conf_authmode(conf, MBEDTLS_SSL_VERIFY_REQUIRED); mbedtls_ssl_conf_ca_chain(conf, cacert, NULL);实测发现RSA 2048证书的解析平均需要8msSTM32F407168MHz而ECC证书仅需3ms在资源紧张环境下推荐使用ECC证书。3.3 SSL握手过程实现完整的握手流程代码示例// 配置SSL参数 mbedtls_ssl_config_defaults(conf, MBEDTLS_SSL_IS_CLIENT, MBEDTLS_SSL_TRANSPORT_STREAM, MBEDTLS_SSL_PRESET_DEFAULT); // 设置RNG和调试回调 mbedtls_ssl_conf_rng(conf, mbedtls_ctr_drbg_random, ctr_drbg); mbedtls_ssl_conf_dbg(conf, my_debug, stdout); // 建立TCP连接略 // ... // 设置主机名SNI扩展必须 mbedtls_ssl_set_hostname(ssl, example.com); // 设置BIO回调 mbedtls_ssl_set_bio(ssl, server_fd, mbedtls_net_send, mbedtls_net_recv, NULL); // 开始握手 while((ret mbedtls_ssl_handshake(ssl)) ! 0) { if(ret ! MBEDTLS_ERR_SSL_WANT_READ ret ! MBEDTLS_ERR_SSL_WANT_WRITE) { printf(Handshake failed: -0x%x\n, -ret); break; } }握手过程优化技巧设置合理的超时时间mbedtls_ssl_conf_handshake_timeout(conf, 3000, 60000)启用会话复用减少后续握手时间根据服务器能力选择最优密码套件4. 数据收发与性能优化4.1 安全数据收发加密数据发送示例int len sprintf(buf, GET / HTTP/1.0\r\n\r\n); while((ret mbedtls_ssl_write(ssl, (unsigned char*)buf, len)) 0) { if(ret ! MBEDTLS_ERR_SSL_WANT_READ ret ! MBEDTLS_ERR_SSL_WANT_WRITE) { printf(Write failed: -0x%x\n, -ret); break; } }数据接收处理do { len sizeof(buf) - 1; memset(buf, 0, sizeof(buf)); ret mbedtls_ssl_read(ssl, (unsigned char*)buf, len); if(ret MBEDTLS_ERR_SSL_WANT_READ || ret MBEDTLS_ERR_SSL_WANT_WRITE) continue; if(ret 0) { if(ret MBEDTLS_ERR_SSL_PEER_CLOSE_NOTIFY) printf(Connection closed gracefully\n); else printf(Read failed: -0x%x\n, -ret); break; } printf(%s, buf); } while(1);4.2 性能优化实践内存优化// 调整最大缓冲区大小 #define MBEDTLS_SSL_MAX_CONTENT_LEN 4096 // 禁用不必要特性 #undef MBEDTLS_SSL_SRV_C #undef MBEDTLS_SSL_CLI_C密码套件优化static const int ciphersuites[] { MBEDTLS_TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256, MBEDTLS_TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, 0 // 必须0结尾 }; mbedtls_ssl_conf_ciphersuites(conf, ciphersuites);会话复用配置mbedtls_ssl_session session; mbedtls_ssl_session_init(session); // 握手成功后保存会话 mbedtls_ssl_get_session(ssl, session); // 下次连接时复用 mbedtls_ssl_set_session(ssl, session);5. 常见问题与调试技巧5.1 典型错误代码处理错误代码含义解决方案-0x7200证书过期检查系统时间/证书有效期-0x2700CA验证失败检查CA证书是否匹配-0x7F00内存不足调整MBEDTLS_SSL_MAX_CONTENT_LEN-0x7880协议版本不匹配检查MBEDTLS_SSL_PROTO_TLS1_2配置5.2 调试方法启用调试输出mbedtls_debug_set_threshold(4); // 1error, 2state, 3info, 4verbose static void my_debug(void *ctx, int level, const char *file, int line, const char *str) { fprintf((FILE *)ctx, %s:%04d: %s, file, line, str); }Wireshark抓包技巧设置环境变量SSLKEYLOGFILE记录会话密钥在Wireshark中配置TLS解密密钥路径过滤条件tls.handshake5.3 内存泄漏检查使用mbedtls内置的内存统计mbedtls_memory_buffer_alloc_status(); mbedtls_memory_buffer_alloc_max_get();在程序退出前确保释放所有资源mbedtls_ssl_close_notify(ssl); mbedtls_ssl_free(ssl); mbedtls_ssl_config_free(conf); mbedtls_x509_crt_free(cacert); mbedtls_ctr_drbg_free(ctr_drbg); mbedtls_entropy_free(entropy);6. 完整示例代码以下是一个精简版的完整实现#include mbedtls/ssl.h #include mbedtls/entropy.h #include mbedtls/ctr_drbg.h #include mbedtls/x509_crt.h #include mbedtls/debug.h #define SERVER_PORT 443 #define SERVER_NAME example.com int main() { int ret; mbedtls_net_context server_fd; mbedtls_ssl_context ssl; mbedtls_ssl_config conf; mbedtls_x509_crt cacert; mbedtls_entropy_context entropy; mbedtls_ctr_drbg_context ctr_drbg; // 初始化所有结构体 mbedtls_net_init(server_fd); mbedtls_ssl_init(ssl); mbedtls_ssl_config_init(conf); mbedtls_x509_crt_init(cacert); mbedtls_entropy_init(entropy); mbedtls_ctr_drbg_init(ctr_drbg); // 1. 初始化随机数生成器 const char* pers ssl_client; if((ret mbedtls_ctr_drbg_seed(ctr_drbg, mbedtls_entropy_func, entropy, (const unsigned char*)pers, strlen(pers))) ! 0) { printf(mbedtls_ctr_drbg_seed returned -0x%x\n, -ret); goto exit; } // 2. 加载CA证书 if((ret mbedtls_x509_crt_parse_file(cacert, ca.crt)) ! 0) { printf(mbedtls_x509_crt_parse_file returned -0x%x\n, -ret); goto exit; } // 3. 建立TCP连接 if((ret mbedtls_net_connect(server_fd, SERVER_NAME, SERVER_PORT, MBEDTLS_NET_PROTO_TCP)) ! 0) { printf(mbedtls_net_connect returned -0x%x\n, -ret); goto exit; } // 4. 配置SSL if((ret mbedtls_ssl_config_defaults(conf, MBEDTLS_SSL_IS_CLIENT, MBEDTLS_SSL_TRANSPORT_STREAM, MBEDTLS_SSL_PRESET_DEFAULT)) ! 0) { printf(mbedtls_ssl_config_defaults returned -0x%x\n, -ret); goto exit; } mbedtls_ssl_conf_authmode(conf, MBEDTLS_SSL_VERIFY_REQUIRED); mbedtls_ssl_conf_ca_chain(conf, cacert, NULL); mbedtls_ssl_conf_rng(conf, mbedtls_ctr_drbg_random, ctr_drbg); if((ret mbedtls_ssl_setup(ssl, conf)) ! 0) { printf(mbedtls_ssl_setup returned -0x%x\n, -ret); goto exit; } mbedtls_ssl_set_hostname(ssl, SERVER_NAME); mbedtls_ssl_set_bio(ssl, server_fd, mbedtls_net_send, mbedtls_net_recv, NULL); // 5. SSL握手 while((ret mbedtls_ssl_handshake(ssl)) ! 0) { if(ret ! MBEDTLS_ERR_SSL_WANT_READ ret ! MBEDTLS_ERR_SSL_WANT_WRITE) { printf(mbedtls_ssl_handshake returned -0x%x\n, -ret); goto exit; } } // 6. 验证服务器证书 uint32_t flags mbedtls_ssl_get_verify_result(ssl); if(flags ! 0) { printf(Certificate verify failed: 0x%x\n, flags); goto exit; } // 7. 数据交换示例发送HTTP请求 char buf[1024]; int len sprintf(buf, GET / HTTP/1.0\r\n\r\n); while((ret mbedtls_ssl_write(ssl, (unsigned char*)buf, len)) 0) { if(ret ! MBEDTLS_ERR_SSL_WANT_READ ret ! MBEDTLS_ERR_SSL_WANT_WRITE) { printf(mbedtls_ssl_write returned -0x%x\n, -ret); goto exit; } } // 8. 读取响应 do { len sizeof(buf) - 1; memset(buf, 0, sizeof(buf)); ret mbedtls_ssl_read(ssl, (unsigned char*)buf, len); if(ret MBEDTLS_ERR_SSL_WANT_READ || ret MBEDTLS_ERR_SSL_WANT_WRITE) continue; if(ret 0) { if(ret MBEDTLS_ERR_SSL_PEER_CLOSE_NOTIFY) printf(Connection closed gracefully\n); else printf(mbedtls_ssl_read returned -0x%x\n, -ret); break; } printf(%s, buf); } while(1); exit: // 清理资源 mbedtls_ssl_close_notify(ssl); mbedtls_net_free(server_fd); mbedtls_ssl_free(ssl); mbedtls_ssl_config_free(conf); mbedtls_x509_crt_free(cacert); mbedtls_ctr_drbg_free(ctr_drbg); mbedtls_entropy_free(entropy); return ret; }在实际项目中我发现以下几个经验特别重要嵌入式设备上务必检查系统时钟证书验证对时间敏感内存不足时优先考虑减小MBEDTLS_SSL_MAX_CONTENT_LEN调试阶段启用MBEDTLS_DEBUG_C能节省大量排查时间对于长期运行的连接实现心跳机制防止被防火墙断开
嵌入式安全通信：基于mbedtls的SSL客户端实现与优化
1. 项目概述基于mbedtls的SSL客户端实现在嵌入式系统和资源受限环境中实现安全通信一直是个技术难点。mbedtls前身PolarSSL作为轻量级加密库完美解决了这个问题。它提供了SSL/TLS协议的全套实现代码量仅占OpenSSL的十分之一左右特别适合嵌入式Linux、RTOS等环境。我最近在工控设备上部署了一个安全通信模块需要在不超100KB内存占用的前提下实现双向认证。经过对比测试最终选择了mbedtls 2.28版本。实测发现一个完整的TLS 1.2握手过程mbedtls仅需约50KB的堆内存而同样场景下OpenSSL至少要消耗300KB。2. 环境准备与库配置2.1 开发环境搭建推荐使用VSCode配合gcc工具链进行开发。安装必备组件sudo apt install build-essential gcc-arm-none-eabi # 交叉编译工具链对于Windows平台可以使用MSYS2环境pacman -S mingw-w64-x86_64-gcc2.2 mbedtls库获取与编译从官方仓库获取最新稳定版git clone https://github.com/Mbed-TLS/mbedtls.git cd mbedtls git checkout mbedtls-2.28.2 # 使用稳定版本编译配置建议make CCgcc CFLAGS-O2 -fPIC # 标准编译选项 sudo make install关键配置选项说明MBEDTLS_SSL_MAX_CONTENT_LEN默认16KB可根据实际报文大小调整MBEDTLS_HAVE_TIME需要校验证书有效期时必须开启MBEDTLS_DEBUG_C调试时建议启用注意嵌入式环境编译时需特别关注MBEDTLS_NO_PLATFORM_ENTROPY配置在没有硬件随机数生成器的设备上要启用替代方案。3. SSL客户端核心实现3.1 基础数据结构初始化典型的SSL客户端需要初始化以下核心结构体mbedtls_ssl_context ssl; mbedtls_ssl_config conf; mbedtls_x509_crt cacert; // CA证书 mbedtls_entropy_context entropy; mbedtls_ctr_drbg_context ctr_drbg;初始化顺序必须严格遵守熵源和随机数生成器SSL配置SSL上下文证书链示例代码mbedtls_ssl_init(ssl); mbedtls_ssl_config_init(conf); mbedtls_x509_crt_init(cacert); mbedtls_entropy_init(entropy); mbedtls_ctr_drbg_init(ctr_drbg); // 随机数生成器种子 const char* pers ssl_client; mbedtls_ctr_drbg_seed(ctr_drbg, mbedtls_entropy_func, entropy, (const unsigned char*)pers, strlen(pers));3.2 证书加载与验证双向认证时需要加载客户端证书和私钥mbedtls_x509_crt_init(clicert); mbedtls_pk_init(pkey); // 加载CA证书 ret mbedtls_x509_crt_parse_file(cacert, ca.crt); if(ret ! 0) { printf(Failed to load CA cert: -0x%x\n, -ret); goto exit; } // 加载客户端证书链 ret mbedtls_x509_crt_parse_file(clicert, client.crt); // 加载私钥 ret mbedtls_pk_parse_keyfile(pkey, client.key, );证书验证配置mbedtls_ssl_conf_authmode(conf, MBEDTLS_SSL_VERIFY_REQUIRED); mbedtls_ssl_conf_ca_chain(conf, cacert, NULL);实测发现RSA 2048证书的解析平均需要8msSTM32F407168MHz而ECC证书仅需3ms在资源紧张环境下推荐使用ECC证书。3.3 SSL握手过程实现完整的握手流程代码示例// 配置SSL参数 mbedtls_ssl_config_defaults(conf, MBEDTLS_SSL_IS_CLIENT, MBEDTLS_SSL_TRANSPORT_STREAM, MBEDTLS_SSL_PRESET_DEFAULT); // 设置RNG和调试回调 mbedtls_ssl_conf_rng(conf, mbedtls_ctr_drbg_random, ctr_drbg); mbedtls_ssl_conf_dbg(conf, my_debug, stdout); // 建立TCP连接略 // ... // 设置主机名SNI扩展必须 mbedtls_ssl_set_hostname(ssl, example.com); // 设置BIO回调 mbedtls_ssl_set_bio(ssl, server_fd, mbedtls_net_send, mbedtls_net_recv, NULL); // 开始握手 while((ret mbedtls_ssl_handshake(ssl)) ! 0) { if(ret ! MBEDTLS_ERR_SSL_WANT_READ ret ! MBEDTLS_ERR_SSL_WANT_WRITE) { printf(Handshake failed: -0x%x\n, -ret); break; } }握手过程优化技巧设置合理的超时时间mbedtls_ssl_conf_handshake_timeout(conf, 3000, 60000)启用会话复用减少后续握手时间根据服务器能力选择最优密码套件4. 数据收发与性能优化4.1 安全数据收发加密数据发送示例int len sprintf(buf, GET / HTTP/1.0\r\n\r\n); while((ret mbedtls_ssl_write(ssl, (unsigned char*)buf, len)) 0) { if(ret ! MBEDTLS_ERR_SSL_WANT_READ ret ! MBEDTLS_ERR_SSL_WANT_WRITE) { printf(Write failed: -0x%x\n, -ret); break; } }数据接收处理do { len sizeof(buf) - 1; memset(buf, 0, sizeof(buf)); ret mbedtls_ssl_read(ssl, (unsigned char*)buf, len); if(ret MBEDTLS_ERR_SSL_WANT_READ || ret MBEDTLS_ERR_SSL_WANT_WRITE) continue; if(ret 0) { if(ret MBEDTLS_ERR_SSL_PEER_CLOSE_NOTIFY) printf(Connection closed gracefully\n); else printf(Read failed: -0x%x\n, -ret); break; } printf(%s, buf); } while(1);4.2 性能优化实践内存优化// 调整最大缓冲区大小 #define MBEDTLS_SSL_MAX_CONTENT_LEN 4096 // 禁用不必要特性 #undef MBEDTLS_SSL_SRV_C #undef MBEDTLS_SSL_CLI_C密码套件优化static const int ciphersuites[] { MBEDTLS_TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256, MBEDTLS_TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256, 0 // 必须0结尾 }; mbedtls_ssl_conf_ciphersuites(conf, ciphersuites);会话复用配置mbedtls_ssl_session session; mbedtls_ssl_session_init(session); // 握手成功后保存会话 mbedtls_ssl_get_session(ssl, session); // 下次连接时复用 mbedtls_ssl_set_session(ssl, session);5. 常见问题与调试技巧5.1 典型错误代码处理错误代码含义解决方案-0x7200证书过期检查系统时间/证书有效期-0x2700CA验证失败检查CA证书是否匹配-0x7F00内存不足调整MBEDTLS_SSL_MAX_CONTENT_LEN-0x7880协议版本不匹配检查MBEDTLS_SSL_PROTO_TLS1_2配置5.2 调试方法启用调试输出mbedtls_debug_set_threshold(4); // 1error, 2state, 3info, 4verbose static void my_debug(void *ctx, int level, const char *file, int line, const char *str) { fprintf((FILE *)ctx, %s:%04d: %s, file, line, str); }Wireshark抓包技巧设置环境变量SSLKEYLOGFILE记录会话密钥在Wireshark中配置TLS解密密钥路径过滤条件tls.handshake5.3 内存泄漏检查使用mbedtls内置的内存统计mbedtls_memory_buffer_alloc_status(); mbedtls_memory_buffer_alloc_max_get();在程序退出前确保释放所有资源mbedtls_ssl_close_notify(ssl); mbedtls_ssl_free(ssl); mbedtls_ssl_config_free(conf); mbedtls_x509_crt_free(cacert); mbedtls_ctr_drbg_free(ctr_drbg); mbedtls_entropy_free(entropy);6. 完整示例代码以下是一个精简版的完整实现#include mbedtls/ssl.h #include mbedtls/entropy.h #include mbedtls/ctr_drbg.h #include mbedtls/x509_crt.h #include mbedtls/debug.h #define SERVER_PORT 443 #define SERVER_NAME example.com int main() { int ret; mbedtls_net_context server_fd; mbedtls_ssl_context ssl; mbedtls_ssl_config conf; mbedtls_x509_crt cacert; mbedtls_entropy_context entropy; mbedtls_ctr_drbg_context ctr_drbg; // 初始化所有结构体 mbedtls_net_init(server_fd); mbedtls_ssl_init(ssl); mbedtls_ssl_config_init(conf); mbedtls_x509_crt_init(cacert); mbedtls_entropy_init(entropy); mbedtls_ctr_drbg_init(ctr_drbg); // 1. 初始化随机数生成器 const char* pers ssl_client; if((ret mbedtls_ctr_drbg_seed(ctr_drbg, mbedtls_entropy_func, entropy, (const unsigned char*)pers, strlen(pers))) ! 0) { printf(mbedtls_ctr_drbg_seed returned -0x%x\n, -ret); goto exit; } // 2. 加载CA证书 if((ret mbedtls_x509_crt_parse_file(cacert, ca.crt)) ! 0) { printf(mbedtls_x509_crt_parse_file returned -0x%x\n, -ret); goto exit; } // 3. 建立TCP连接 if((ret mbedtls_net_connect(server_fd, SERVER_NAME, SERVER_PORT, MBEDTLS_NET_PROTO_TCP)) ! 0) { printf(mbedtls_net_connect returned -0x%x\n, -ret); goto exit; } // 4. 配置SSL if((ret mbedtls_ssl_config_defaults(conf, MBEDTLS_SSL_IS_CLIENT, MBEDTLS_SSL_TRANSPORT_STREAM, MBEDTLS_SSL_PRESET_DEFAULT)) ! 0) { printf(mbedtls_ssl_config_defaults returned -0x%x\n, -ret); goto exit; } mbedtls_ssl_conf_authmode(conf, MBEDTLS_SSL_VERIFY_REQUIRED); mbedtls_ssl_conf_ca_chain(conf, cacert, NULL); mbedtls_ssl_conf_rng(conf, mbedtls_ctr_drbg_random, ctr_drbg); if((ret mbedtls_ssl_setup(ssl, conf)) ! 0) { printf(mbedtls_ssl_setup returned -0x%x\n, -ret); goto exit; } mbedtls_ssl_set_hostname(ssl, SERVER_NAME); mbedtls_ssl_set_bio(ssl, server_fd, mbedtls_net_send, mbedtls_net_recv, NULL); // 5. SSL握手 while((ret mbedtls_ssl_handshake(ssl)) ! 0) { if(ret ! MBEDTLS_ERR_SSL_WANT_READ ret ! MBEDTLS_ERR_SSL_WANT_WRITE) { printf(mbedtls_ssl_handshake returned -0x%x\n, -ret); goto exit; } } // 6. 验证服务器证书 uint32_t flags mbedtls_ssl_get_verify_result(ssl); if(flags ! 0) { printf(Certificate verify failed: 0x%x\n, flags); goto exit; } // 7. 数据交换示例发送HTTP请求 char buf[1024]; int len sprintf(buf, GET / HTTP/1.0\r\n\r\n); while((ret mbedtls_ssl_write(ssl, (unsigned char*)buf, len)) 0) { if(ret ! MBEDTLS_ERR_SSL_WANT_READ ret ! MBEDTLS_ERR_SSL_WANT_WRITE) { printf(mbedtls_ssl_write returned -0x%x\n, -ret); goto exit; } } // 8. 读取响应 do { len sizeof(buf) - 1; memset(buf, 0, sizeof(buf)); ret mbedtls_ssl_read(ssl, (unsigned char*)buf, len); if(ret MBEDTLS_ERR_SSL_WANT_READ || ret MBEDTLS_ERR_SSL_WANT_WRITE) continue; if(ret 0) { if(ret MBEDTLS_ERR_SSL_PEER_CLOSE_NOTIFY) printf(Connection closed gracefully\n); else printf(mbedtls_ssl_read returned -0x%x\n, -ret); break; } printf(%s, buf); } while(1); exit: // 清理资源 mbedtls_ssl_close_notify(ssl); mbedtls_net_free(server_fd); mbedtls_ssl_free(ssl); mbedtls_ssl_config_free(conf); mbedtls_x509_crt_free(cacert); mbedtls_ctr_drbg_free(ctr_drbg); mbedtls_entropy_free(entropy); return ret; }在实际项目中我发现以下几个经验特别重要嵌入式设备上务必检查系统时钟证书验证对时间敏感内存不足时优先考虑减小MBEDTLS_SSL_MAX_CONTENT_LEN调试阶段启用MBEDTLS_DEBUG_C能节省大量排查时间对于长期运行的连接实现心跳机制防止被防火墙断开