ActiveMQ Artemis“needclientauth=true”错误输出“空客户端证书链”。消息(AMQ222208)

Question

我有ActiveMQ Artemis集群，共享存储的主动备份模式，版本2.17.0。SSL与此群集一起使用。

我从Kafka集群中获取了Keystore/Truststore文件，它完全可以使用双向TLS。我在Artemis中重用了这些文件，它也工作得很好。但是，当我在URL字符串中启用needclientauth=true时，问题就出现了。

尼德克利恩塔特

此属性仅适用于接受者。它告诉连接到此接受器的客户端需要双向SSL。有效值为true或false。默认值为false。

所以如果我想实现双向TLS，我必须使用这个选项。那么服务器和客户机都必须有自己的keystore/truststore对。在我的例子中，服务器和客户端都是相同的。

Connection failed::Failed to create session factory

WARN  [org.apache.activemq.artemis.core.server] AMQ222208: SSL handshake failed for client from /123.123.123.123:36788: javax.net.ssl.SSLHandshakeException: Empty client certificate chain.

# Generate private key and CSR
openssl req -new -newkey rsa:2048 -nodes -days 365 -subj '/CN=something.com/OU=XXX/O=Company/L=City/ST=City/C=XX' -keyout private.key -out mycsr.csr

# Upload CSR to magic website, get back CA and signed certificate.
# ...

# Since CA is chain, and you cannot import chain into keystore/truststore, split into multiple files: ca1.cer and ca2.cer.
# ...

# Create truststore.jks
keytool -importcert -noprompt -alias ca1 -file ca1.cer -keystore truststore.jks
keytool -importcert -noprompt -alias ca2 -file ca2.cer -keystore truststore.jks

# Because it's impossible to create JKS keystore out of private key, first generate PKCS12 keystore:
openssl pkcs12 -inkey private.key -in certificate.cer -export -out keystore.p12

# Now convert PKCS12 keystore to JKS keystore:
keytool -importkeystore -srckeystore keystore.p12 -srcstoretype pkcs12 -destkeystore keystore.jks -deststoretype jks

# Since above command added only a private key, we also need to add an issued certificate:
keytool -importcert -noprompt -alias certificate -file certificate.cer -keystore keystore.jks

# Some client's (in Kafka) does not work if CA is not added to keystore, so add it:
keytool -importcert -noprompt -alias ca1 -file ca1.cer -keystore keystore.jks
keytool -importcert -noprompt -alias ca2 -file ca2.cer -keystore keystore.jks

# End up with the following files:
keystore.jks
truststore.jks
---------
ca.cer
certificate.cer
private.key

tcp://server.com:1234?tcpSendBufferSize=1048576;tcpReceiveBufferSize=1048576;amqpMinLargeMessageSize=102400;protocols=CORE,AMQP,STOMP,HORNETQ,MQTT,OPENWIRE;useEpoll=true;amqpCredits=1000;amqpLowCredits=300;amqpDuplicateDetection=true;sslEnabled=true;needClientAuth=true;keyStorePath=/opt/ssl/keystore.jks;keyStorePassword=123;trustStorePath=/opt/ssl/truststore.jks;trustStorePassword=123

在使用ActiveMQ Artemis CLI进行连接时，我传递以下URL：

tcp://server.com:1234?sslEnabled=true;keyStorePath=/opt/ssl/truststore.jks;keyStorePassword=123;trustStorePath=/opt/ssl/truststore.jks;trustStorePassword=123

我错过了什么？

Answer 1

代理和客户都需要有自己的证书。您似乎只创建了一个证书，并在代理和客户端上使用该证书。

例如，代理需要在其密钥存储中拥有自己的证书，它将该证书提交给客户机，客户机在其信任存储中拥有该证书。然后客户机需要在它的密钥存储中拥有它自己的证书，并将其提交给代理，代理拥有的是它的信任存储。

据我所知，你不是在这么做。请看ActiveMQ Artemis附带的SSL-enabled-dual-authentication示例。它包含使用自签名证书运行所需的所有keytool命令。一旦您启动并使用简单的自签名证书运行，您就可以转到由证书颁发机构签名的证书。

最后，您在ActiveMQ Artemis CLI中使用的URL看起来不正确，因为KeyStorePath引用的是truststore/opt/ssl/truststore.jks。