MQ Client与Server TLS连接失败：AMQ9665E等错误排查求助

环境配置 #

• MQ Server端：新建key.kdb，导入内部CA链（ROOT CA→Intermediate CA→Issuing CA）签名的.pfx证书，个人证书标签重命名为ibmwebspheremqqname
• BizTalk客户端集群：6台服务器，导入同机构签发的.pfx证书，个人证书标签重命名为ibmwebspheremqserviceaccount（连接用服务账户）

当前问题 #

• 原环境使用自签名证书TLS连接正常，现在导入某客户端旧自签名证书到Server后仍能连接，但客户端key.kdb已清空旧证书
• 客户端报错：AMQ9665E（SSL连接被远端关闭）、AMQ9208E（接收数据出错）
• Server端报错：AMQ9999E（通道异常终止），证书验证错误码575010，疑似仍在检查旧自签名证书
• 集群仅1台BizTalk服务器可正常连接，其余5台失败；但所有客户端用AMQSSSLC测试均能成功连接，BizTalk实际连接失败

排查步骤 #

1. 验证Server端证书信任链完整性 #

• 检查Server的key.kdb中是否完整导入ROOT CA、Intermediate CA、Issuing CA的根证书，错误码575010通常对应证书链不完整或信任锚缺失
• 用runmqckm命令列出证书库内容，确认CA证书状态为trusted：

  runmqckm -cert -list -db key.kdb -stashed
  

2. 检查BizTalk客户端证书加载上下文 #

• 确认BizTalk运行的服务账户对客户端key.kdb及关联的*.rdb、*.sth文件有读写权限，异常服务器可能存在权限配置不一致
• 核对BizTalk MQ适配器配置的证书库路径，部分服务器可能仍指向旧路径
• 检查Windows证书存储：BizTalk可能优先使用系统存储而非MQ的key.kdb，需确认服务账户的个人存储中已导入带私钥的证书，且CA根证书已加入受信任的根证书颁发机构

3. 分析Server端SSL验证日志 #

• 开启MQ通道SSL debug日志，修改通道定义：

  ALTER CHANNEL(通道名) CHLTYPE(SVRCONN) SSLCAUTH(REQUIRED) SSLCIPH(指定加密套件)
  

  在qm.ini中添加日志配置并重启队列管理器：

  SSL:
    SSLDebug=1
    SSLTrace=1
  

  查看AMQERR01.LOG中的验证流程，确认是旧证书残留问题还是新证书链验证失败

4. 对比正常与异常服务器的配置差异 #

• 导出正常服务器的BizTalk MQ适配器配置，与异常服务器逐一核对：
  • SSL加密套件是否与Server端完全匹配
  • 连接使用的服务账户是否一致
  • MQ客户端的安装版本、路径是否相同（部分版本存在证书加载兼容性问题）
• 检查异常服务器系统时间，确保与Server端时间差在证书有效期范围内

5. 确认Server端通道的证书匹配规则 #

• 检查通道的SSLPEER或SSLPEERCN属性，是否限制了客户端证书的标签或CN名称，异常服务器的证书可能不符合规则
• 确认Server端个人证书标签ibmwebspheremqqname是否与队列管理器名称小写完全匹配（MQ要求标签格式为ibmwebspheremq<队列管理器名小写>）

内容的提问来源于stack exchange，提问作者Mihai Narcis