使用ActiveMQSslConnectionFactory连接Artemis SSL节点失败排查

核心差异说明 #

ActiveMQConnectionFactory通过brokerURL嵌入所有SSL参数来构建SSL连接，而ActiveMQSslConnectionFactory是专属SSL连接工厂，会忽略brokerURL中的SSL配置项，需通过自身API单独配置SSL上下文参数——这是导致连接失败的核心原因。

具体排查与修复步骤 #

1. 重构连接工厂配置，移除brokerURL中的SSL参数 #

将原brokerURL里的sslEnabled、keyStorePath、trustStorePath等SSL参数，迁移到ActiveMQSslConnectionFactory的专属setter方法中：

@Bean
public ActiveMQSslConnectionFactory artemisSslConnectionFactory() {
    ActiveMQSslConnectionFactory factory = new ActiveMQSslConnectionFactory();
    // 仅保留基础broker地址，不要带任何SSL参数
    factory.setBrokerURL("tcp://your-artemis-host:61617");
    // 配置SSL密钥库/信任库
    factory.setKeyStorePath("classpath:client-keystore.jks");
    factory.setKeyStorePassword("your-keystore-pass");
    factory.setTrustStorePath("classpath:client-truststore.jks");
    factory.setTrustStorePassword("your-truststore-pass");
    // 可选：指定与broker匹配的SSL协议（默认TLSv1.2）
    factory.setSslProtocol("TLSv1.2");
    // 配置broker认证信息
    factory.setUser("artemis-user");
    factory.setPassword("artemis-pass");
    return factory;
}

2. 验证SSL配置完整性 #

• 确认密钥库/信任库路径正确：使用绝对路径或classpath:前缀加载资源，避免相对路径导致文件找不到
• 检查密码一致性：密钥库密码、信任库密码、密钥密码（若单独设置）需与实际文件匹配，无拼写错误
• 对齐broker端SSL协议：确保客户端指定的sslProtocol与Artemis broker acceptor配置的协议一致

3. 确认证书信任链有效性 #

• 确保客户端信任库包含Artemis broker的服务端证书（或其签发CA的根证书）
• 用keytool命令验证信任库内容：

  keytool -list -v -keystore client-truststore.jks
  

• 若broker开启了needClientAuth=true，需确保客户端密钥库的证书已被broker信任库收录

4. 检查broker端SSL acceptor配置 #

确认Artemis broker的broker.xml中SSL acceptor配置正确，示例：

<acceptor name="ssl-acceptor">
  tcp://0.0.0.0:61617?sslEnabled=true;
  keyStorePath=../etc/broker-keystore.jks;
  keyStorePassword=broker-keystore-pass;
  trustStorePath=../etc/broker-truststore.jks;
  trustStorePassword=broker-truststore-pass;
  needClientAuth=false
</acceptor>

5. 排查依赖版本与兼容性 #

• 确保pom.xml中所有Artemis相关依赖版本统一，避免javax/jakarta API混用：

  <dependency>
      <groupId>org.apache.activemq</groupId>
      <artifactId>activemq-artemis-jms-client</artifactId>
      <version>2.31.0</version> <!-- 与broker版本一致最佳 -->
  </dependency>
  

6. 开启SSL debug日志定位细节 #

添加JVM启动参数，输出SSL握手全过程日志，定位具体失败原因：

-Djavax.net.debug=ssl,handshake

日志中会显示握手失败的具体触发点（如证书不匹配、协议协商失败、密钥库加载错误等）

内容的提问来源于stack exchange，提问作者Matusevich Elena