ActiveMQ transport.enabledCipherSuites限制SSL cipher套件不生效问题咨询

一、Broker端能否限制加密套件？ #

可以，ActiveMQ Classic 5.15.5完全支持在broker端限制SSL/TLS加密套件，通过正确配置可确保只有指定的套件能建立连接。

二、transport.enabledCipherSuites属性的作用机制 #

该属性用于明确指定transportConnector仅接受的加密套件列表，工作逻辑如下：

• 客户端发起SSL握手时，会向broker提供自身支持的加密套件列表
• broker将客户端的列表与配置的允许列表对比，仅选择两者的交集完成握手
• 如果没有交集，握手直接失败，拒绝客户端连接

注意：该属性仅在SSL类型的transportConnector配置正确（如指定了有效的sslContext、密钥库/信任库）时才会生效，基础SSL配置错误会导致限制逻辑失效。

三、为什么你的配置未生效？ #

结合你的环境（RHEL 7、OpenJDK 1.8.0_342、ActiveMQ 5.15.5），常见原因包括：

• 配置位置错误：必须将该属性应用于SSL专属的transportConnector，要么作为URI参数，要么作为连接器的子属性，不能配置在其他类型的连接器（如openwire）上。
• 加密套件名称不匹配：OpenSSL与OpenJDK使用的套件命名规则不同。比如OpenSSL的ECDHE-RSA-AES256-GCM-SHA384对应OpenJDK的TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384。如果你的配置用的是Java风格名称，但测试时用的是OpenSSL名称，会看起来像是使用了未授权的套件，但实际是同一个套件的不同命名。
• 配置未被正确加载：拼写错误（比如写成enabledCipherSuites而非transport.enabledCipherSuites）或格式错误（比如用分号而非逗号分隔套件）会导致属性被忽略，即使broker启动无报错。
• 版本专属bug：ActiveMQ 5.15.5在特定JDK版本下可能存在SSL过滤逻辑的bug，建议升级到5.15.x分支的最新补丁版本（如5.15.16）排查问题。

四、验证与修复步骤 #

1. 确认配置语法正确
   确保SSL连接器配置符合规范，示例如下：

   <!-- 作为URI参数配置 -->
   <transportConnector name="ssl" uri="ssl://0.0.0.0:61616?transport.enabledCipherSuites=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256" />
   
   <!-- 作为子属性配置 -->
   <transportConnector name="ssl" uri="ssl://0.0.0.0:61616">
     <property name="transport.enabledCipherSuites" value="TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"/>
   </transportConnector>
   

2. 映射OpenSSL与Java的套件名称
   用以下命令查看OpenJDK支持的所有加密套件（Java风格名称）：

   keytool -list -cipher -keystore $JAVA_HOME/jre/lib/security/cacerts -storepass changeit
   

   将配置中的套件名称替换为该命令输出的Java风格名称。
3. 用Java客户端测试
   不要仅依赖openssl s_client测试，编写一个简单的ActiveMQ SSL客户端，尝试使用不在允许列表中的套件连接。如果Java客户端连接失败但openssl能成功，大概率是名称不匹配的问题。
4. 检查Broker日志
   查看activemq.log文件中与enabledCipherSuites相关的日志条目，如果没有显示你配置的列表，说明配置未被正确加载。

内容的提问来源于stack exchange，提问作者Natolio