iOS客户端连接Openfire 4.7.5遭遇javax.net.ssl.SSLException异常

问题场景 #

使用Openfire 4.7.5版本搭配iOS客户端，当Openfire的STARTTLS策略设置为Required、加密协议指定为TLSv1.2时，iOS客户端连接触发SSL异常；将STARTTLS改为Optional后，客户端可正常连接，但流量失去加密保护。

错误日志 #

Closing connection due to exception in session: (0x00052A54: nio socket, server, null => 0.0.0.0/0.0.0.0:5222) org.apache.mina.core.filterchain.IoFilterLifeCycleException: clear(): tls in (0x00052A54: nio socket, server, null => 0.0.0.0/0.0.0.0:5222)     
     at org.apache.mina.core.filterchain.DefaultIoFilterChain.clear(DefaultIoFilterChain.java:449) [mina-core-2.1.6.jar:?]
     at org.apache.mina.core.filterchain.DefaultIoFilterChain$TailFilter.sessionClosed(DefaultIoFilterChain.java:966) ~[mina-core-2.1.6.jar:?]     
     at org.apache.mina.core.filterchain.DefaultIoFilterChain.callNextSessionClosed(DefaultIoFilterChain.java:606) [mina-core-2.1.6.jar:?]
Caused by: org.apache.mina.core.filterchain.IoFilterLifeCycleException: onPreRemove(): tls:SslFilter in (0x00052A54: nio socket, server, null => 0.0.0.0/0.0.0.0:5222)
     at org.apache.mina.core.filterchain.DefaultIoFilterChain.deregister(DefaultIoFilterChain.java:487) ~[mina-core-2.1.6.jar:?]
     at org.apache.mina.core.filterchain.DefaultIoFilterChain.clear(DefaultIoFilterChain.java:447) [mina-core-2.1.6.jar:?]
     ... 18 more
Caused by: javax.net.ssl.SSLException: Improper close state: Status = OK HandshakeStatus = NEED_WRAP bytesConsumed = 0 bytesProduced = 7
     at org.apache.mina.filter.ssl.SslHandler.closeOutbound(SslHandler.java:496) ~[mina-core-2.1.6.jar:?]
     at org.apache.mina.filter.ssl.SslFilter.initiateClosure(SslFilter.java:773) ~[mina-core-2.1.6.jar:?]
     at org.apache.mina.filter.ssl.SslFilter.stopSsl(SslFilter.java:325) ~[mina-core-2.1.6.jar:?]

根本原因分析 #

从日志中的javax.net.ssl.SSLException: Improper close state可以定位核心问题：SSL握手流程中连接关闭状态异常，通常由以下原因导致：

• iOS客户端与Openfire在STARTTLS握手交互上不匹配：客户端可能未正确响应服务器的STARTTLS升级请求，或在握手未完成时提前关闭连接。
• TLS协议版本不兼容：如果iOS客户端默认优先使用TLSv1.3，但Openfire仅配置了TLSv1.2，会导致握手协商失败。
• 证书信任问题：iOS客户端未信任Openfire的SSL证书（自签名证书未安装、CA证书链不完整等），导致握手过程中静默终止连接，触发服务器端异常。
• Openfire的Mina SSL过滤器在处理未完成的握手时，关闭连接的逻辑触发了状态异常。

解决方案 #

1. 校准iOS客户端TLS配置 #

• 强制客户端使用TLSv1.2协议进行STARTTLS握手：部分iOS版本默认启用TLSv1.3，需在客户端代码中指定仅使用TLSv1.2与Openfire交互。
• 确保客户端信任Openfire证书：
  • 若使用自签名证书，需在iOS设备上安装该证书并设置为“信任”；
  • 若使用CA签发证书，确认证书链完整、域名匹配且未过期。

2. 调整Openfire SSL相关配置 #

• 延长SSL握手超时时间：在Openfire的system.properties文件中添加或修改以下参数，避免因网络延迟导致握手未完成就关闭连接：

  xmpp.socket.ssl.handshake-timeout=30000
  

• 验证证书有效性：检查Openfire密钥库（默认conf/security/keystore）中的证书，确认密钥别名、密码正确，证书的CN字段或SAN扩展包含客户端连接的主机名/IP。

3. 开启详细SSL调试日志 #

在Openfire的log4j2.xml中添加以下日志配置，获取完整的SSL握手交互细节，定位具体的协商失败点：

<Logger name="org.apache.mina.filter.ssl" level="DEBUG"/>
<Logger name="javax.net.ssl" level="DEBUG"/>

重启Openfire后，查看logs/debug.log中的SSL交互日志，确认客户端是否发送STARTTLS请求、服务器响应是否正常。

4. 跨客户端对比测试 #

使用桌面XMPP客户端（如Pidgin、Adium）配置相同的STARTTLS Required和TLSv1.2设置，连接Openfire：

• 若桌面客户端正常连接，说明问题出在iOS客户端的实现上，需排查客户端代码的STARTTLS逻辑；
• 若桌面客户端也出现异常，说明Openfire的配置存在问题，需重新检查SSL证书、协议配置。

内容的提问来源于stack exchange，提问作者lamar8080