启用HTTPS后无法连接Neo4j数据库问题求助

核心问题分析 #

从浏览器日志可明确两个关键故障点：

1. 混合内容拦截：HTTPS页面尝试连接非加密的ws://端点，浏览器会强制阻止这类请求，必须使用加密的wss://协议。
2. Bolt连接失败：7687端口的WebSocket连接被关闭，说明Bolt服务的SSL配置或网络通路存在问题。

分步解决方案 #

1. 强制Neo4j Browser使用加密Bolt连接 #

Neo4j Browser在HTTPS环境下，默认可能仍尝试非加密的WS连接，可通过两种方式修正：

• 手动修改连接URL：在Browser的连接界面，将默认的bolt://dns.name:7687改为bolt+s://dns.name:7687（强制SSL加密），或直接使用wss://dns.name:7687。
• 配置Neo4j自动返回加密地址：在neo4j.conf中添加/修改以下配置，确保Neo4j向Browser推送正确的加密Bolt地址：

  dbms.connector.bolt.advertised_address=dns.name:7687
  dbms.connector.bolt.tls_level=REQUIRED  # 从OPTIONAL改为REQUIRED，强制所有Bolt连接使用SSL
  

2. 验证Bolt SSL配置的完整性与正确性 #

• 确认certificates/bolt目录下的private.key和public.crt是Cert Manager生成的有效Let’s Encrypt证书，且Neo4j运行用户（通常为neo4j）拥有读取权限：

  sudo chown -R neo4j:neo4j /path/to/neo4j/certificates/bolt
  sudo chmod 600 /path/to/neo4j/certificates/bolt/private.key
  sudo chmod 644 /path/to/neo4j/certificates/bolt/public.crt
  

• 检查neo4j.conf中的Bolt SSL策略配置无遗漏：

  dbms.ssl.policy.bolt.enabled=true
  dbms.ssl.policy.bolt.base_directory=certificates/bolt
  dbms.ssl.policy.bolt.private_key=private.key
  dbms.ssl.policy.bolt.public_certificate=public.crt
  dbms.ssl.policy.bolt.client_auth=NONE  # 默认无需客户端认证，按需调整
  

3. 检查GCP防火墙规则 #

确保GCP虚拟机的防火墙开放了Bolt服务的默认端口7687：

• 登录GCP控制台，进入对应虚拟机的防火墙配置页面。
• 添加/更新规则，允许TCP 7687端口的入站流量，来源设置为需要访问的IP范围（或0.0.0.0/0，按需限制）。

4. 验证服务状态与SSL连通性 #

• 重启Neo4j服务使配置生效：

  sudo systemctl restart neo4j
  

• 查看Neo4j日志（通常路径为/var/log/neo4j/neo4j.log），确认Bolt服务已启动并监听7687端口，且SSL配置加载成功。
• 使用openssl测试Bolt端口的SSL连接有效性：

  openssl s_client -connect dns.name:7687
  

  若连接成功，终端会显示证书详情，说明SSL配置正常。

5. 修正HTTPS连接器的反向代理配置（若使用） #

如果通过Cert Manager配合Ingress/反向代理（如Nginx）转发HTTPS流量，需确保：

• 反向代理将443端口的HTTPS请求转发到Neo4j的7473端口。
• 配置TCP转发规则，将443或7687端口的流量转发到Neo4j的7687端口（部分Ingress控制器支持TCP/UDP转发配置）。
• 更新neo4j.conf中的HTTPS广告地址：

  dbms.connector.https.advertised_address=dns.name:443
  

测试连接 #

完成所有配置后，重新访问https://dns.in/browser，使用bolt+s://dns.name:7687作为连接URL，输入正确的用户名和密码即可正常连接数据库。

内容的提问来源于stack exchange，提问作者Vivek Malapaka