如何在WSO2 APIM 4.2中启用TLSv1.1？配置后未生效求助

1. 修正Deployment.toml传输配置 #

WSO2 APIM 4.2以repository/conf/deployment.toml作为核心配置入口，需确保HTTPS及网关传输的TLS协议配置正确：

# 配置管理端口（9443）的TLS协议
[transport.https.properties]
enabledProtocols = "TLSv1.1,TLSv1.2"

# 配置网关端口（8243）的TLS协议
[transport.passthru_https.properties]
enabledProtocols = "TLSv1.1,TLSv1.2"

2. 调整JVM启动参数（关键步骤） #

Java 11默认禁用TLSv1.0和TLSv1.1，必须通过JVM参数显式启用：

• Linux/macOS：编辑bin/wso2server.sh，在JAVA_OPTS区域添加：

-Djdk.tls.client.protocols="TLSv1.1,TLSv1.2"
-Djdk.tls.server.protocols="TLSv1.1,TLSv1.2"

• Windows：编辑bin/wso2server.bat，在set JAVA_OPTS行添加：

-Djdk.tls.client.protocols="TLSv1.1,TLSv1.2" ^
-Djdk.tls.server.protocols="TLSv1.1,TLSv1.2"

3. 配置TLSv1.1兼容密码套件 #

在deployment.toml中补充支持TLSv1.1的密码套件（示例）：

[transport.https.properties]
cipherSuites = "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA"

[transport.passthru_https.properties]
cipherSuites = "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA"

4. 重启验证 #

保存所有配置后彻底重启WSO2 APIM服务，再用测试工具验证：

java -jar testsslserver.jar localhost 9443
java -jar testsslserver.jar localhost 8243

正常情况下，结果会显示TLSv1.1和TLSv1.2均被支持，日志中的协议不支持警告也会消失。

额外检查点 #

• 确认repository/conf/axis2/axis2.xml中的enabledProtocols配置未覆盖deployment.toml的设置，若存在冲突以deployment.toml为准。
• 确保使用WSO2 APIM 4.2兼容的OpenJDK 11版本，避免Java版本差异导致的协议支持异常。

内容的提问来源于stack exchange，提问作者Soufiane