通过Liberty配置连接IBM MQ遇SSL握手失败：证书配置未生效求助

核心修复步骤 #

1. 显式关联MQ连接工厂与SSL配置 #

Liberty的动态出站JMS连接不会自动继承defaultSSLConfig，必须在MQ连接工厂配置中指定SSL引用：

<jmsConnectionFactory jndiName="jms/YourConnectionFactory">
  <properties.wmqJms
    hostName="mq-host-ip"
    port="1414"
    queueManager="YOUR_QMGR"
    channel="SSL.CHANNEL.NAME"
    sslRef="defaultSSLConfig" <!-- 关键：手动绑定SSL配置ID -->
  />
</jmsConnectionFactory>

2. 校验SSL配置完整性 #

确保defaultSSLConfig的密钥库、信任库配置无遗漏，且与MQ要求匹配：

<ssl id="defaultSSLConfig"
     keyStoreRef="mqClientKeyStore"
     trustStoreRef="mqClientTrustStore"
     sslProtocol="TLSv1.2"/> <!-- 需与MQ通道的SSL协议一致 -->

<keyStore id="mqClientKeyStore"
          location="${server.config.dir}/client-keystore.jks"
          password="keystore-pass"
          type="JKS"/>

<keyStore id="mqClientTrustStore"
          location="${server.config.dir}/client-truststore.jks"
          password="truststore-pass"
          type="JKS"/>

• 信任库必须导入MQ队列管理器的根CA证书或自签名证书
• 若MQ通道启用双向认证（SSLCAUTH(REQUIRED)），密钥库需包含被MQ信任的客户端证书

3. 匹配MQ通道SSL参数 #

• 确认MQ通道的加密套件（Cipher Suite）与LibertysslProtocol兼容，例如TLS_RSA_WITH_AES_256_CBC_SHA256
• 检查MQ通道的SSLCAUTH设置：若为REQUIRED，需确保客户端证书已加入MQ的信任库

4. 启用调试日志定位问题 #

添加日志配置，抓取SSL握手细节：

<logging traceSpecification="com.ibm.ws.ssl.*=all:com.ibm.mq.jms.*=all"/>

查看logs/trace.log中的SSL握手错误，可快速定位证书不匹配、路径错误等问题

5. 验证证书有效性 #

用keytool检查信任库中的证书：

keytool -list -v -keystore client-truststore.jks

确认MQ服务器证书的指纹与信任库中记录的一致，避免证书导入错误

内容的提问来源于stack exchange，提问作者Satya