如何在ActiveMQ Artemis集群上配置SSL

Question

      <connectors>
         <connector name="netty-connector">tcp://server1:61616</connector>
      </connectors>
        
      <acceptors>
         <acceptor name="artemis">tcp://0.0.0.0:61616?protocols=CORE,AMQP,STOMP,HORNETQ,OPENWIRE</acceptor>
      </acceptors>

     <connectors>
        <connector name="netty-connector">tcp://server2:61616</connector>
     </connectors>
        
     <acceptors>
        <acceptor name="artemis">tcp://0.0.0.0:61616?protocols=CORE,AMQP,STOMP,HORNETQ,OPENWIRE</acceptor>
     </acceptors>

我尝试了这个设置：

服务器1：

      <connectors>
         <connector name="netty-connector">tcp://server1:61616?enabledProtocols=TLSv1.2;sslEnabled=true;trustStorePath=client-ca-truststore.jks;trustStorePassword=securepass</connector>
      </connectors>
        
      <acceptors>
         <acceptor name="artemis">tcp://0.0.0.0:61616?protocols=CORE,AMQP,STOMP,HORNETQ,OPENWIRE;sslEnabled=true;needClientAuth=true;keyStorePath=server1-keystore.jks;keyStorePassword=securepass</acceptor>
      </acceptors>

服务器2：

     <connectors>
        <connector name="netty-connector">tcp://server2:61616?enabledProtocols=TLSv1.2;sslEnabled=true;trustStorePath=client-ca-truststore.jks;trustStorePassword=securepass</connector>
     </connectors>
        
     <acceptors>
         <acceptor name="artemis">tcp://0.0.0.0:61616?protocols=CORE,AMQP,STOMP,HORNETQ,OPENWIRE;sslEnabled=true;needClientAuth=true;keyStorePath=server2-keystore.jks;keyStorePassword=securepass</acceptor>
     </acceptors>

WARN 57399 --- [Thread-7 (activemq-netty-threads)] org.apache.activemq.artemis.core.server : AMQ222208: SSL handshake failed for client from /10.96.1.102:35944: javax.net.ssl.SSLHandshakeException: Empty client certificate chain.

ERROR 60482 --- [Thread-0 (ActiveMQ-server-org.apache.activemq.artemis.core.server.impl.ActiveMQServerImpl$6@7b3af62e)] org.apache.activemq.artemis.core.client : AMQ214016: Failed to create netty connection
java.lang.IllegalStateException: No ActiveMQChannelHandler has been found while connecting to server1/10.96.1.6:61616 from Channel with id = b4c31575
WARN 60482 --- [Thread-1 (ActiveMQ-server-org.apache.activemq.artemis.core.server.impl.ActiveMQServerImpl$6@7b3af62e)] org.apache.activemq.artemis.core.server : AMQ222186: unable to authorise cluster control: AMQ219016: Connection failure detected. Unblocking a blocking call that will never get a response

是设置不正确，还是证书有问题？

组织中以前的Artemis设置有相互的SSL，但是对于我的用例来说，双向身份验证没有任何好处。由于我的设置不起作用，我再次添加了它，但我认为它只是强制客户端通过用户/密码进行身份验证。

Answer 1

由于使用的是自签名证书，因此需要在接受器上指定KeystorePath和KeystorePassword，在连接器上指定TruststorePath和TruststorePassword。当然，两者都需要sslenabled=true。

代理附带了一个示例，该示例在examples/features/standard/ssl-enabled目录中使用自签名证书。这实质上演示了这个用例需要什么，尽管与您正在做的方式略有不同。只需将示例中的客户机视为集群用例中的连接器，因为它就是这样。文档中甚至有关于如何生成所有SSL资源的命令。

在尝试的配置中，您在接受者上指定了needclientauth=true，这几乎肯定会导致问题。此设置用于启用“相互”（即双向）SSL，但您的问题对此只字不提。我不相信你需要这个。我建议你把它移除。