WebSphere 8.5.5.20连接工厂出现多类SSLHandshakeException问题求助

运行在WebSphere 8.5.5.20上的Java 8应用，配置MQ连接工厂后出现连接失败，日志报多种SSLHandshakeException：unrecognized SSLv2Hello、plaintext connection、client request protocol TLSv1.1 not enabled or supported、client supported protocol versions [TLSv1.3] are not accepted by server preferences，且连接工厂已配置TLSv1.2。以下是针对性排查解决步骤：

一、处理unrecognized SSLv2Hello错误 #

• 检查WebSphere的JVM自定义属性，添加参数禁用SSLv2Hello协议：
  com.ibm.jsse2.disableSSLv2Hello=true
• 确认队列管理器侧已禁用SSLv2协议，避免客户端发送的握手包被拒绝。

二、处理plaintext connection错误 #

• 验证连接工厂的SSL Cipher Suite配置，指定TLSv1.2兼容的加密套件（例如TLS_RSA_WITH_AES_256_CBC_SHA256），同时确保队列管理器侧已启用对应套件。
• 检查连接工厂的SSL Authentication设置，必须设为REQUIRED，避免客户端尝试明文连接。
• 确认连接工厂配置的端口与队列管理器的SSL监听端口匹配（通常明文端口为1414，SSL端口为1415等）。

三、处理client request protocol TLSv1.1 not enabled or supported错误 #

• 尽管连接工厂配置了TLSv1.2，仍需检查WebSphere全局SSL协议设置：
  1. 进入WebSphere控制台 → 安全 → SSL证书和密钥管理 → SSL配置 → 选中对应配置 → 质量保护(QoP)设置
  2. 确保协议设为TLSv1.2，且未勾选TLSv1.1或更低版本。
• 检查Java 8的JVM参数，移除强制指定TLSv1.1的参数（如-Dhttps.protocols=TLSv1.1），添加-Dhttps.protocols=TLSv1.2。

四、处理client supported protocol versions [TLSv1.3] are not accepted by server preferences错误 #

• Java 8默认不支持TLSv1.3，若WebSphere补丁或自定义配置意外启用，需在JVM自定义属性中添加：
  com.ibm.jsse2.disableTLSv13=true
• 确认队列管理器侧仅启用TLSv1.2及以下兼容协议，避免客户端发送TLSv1.3握手请求被拒绝。

额外排查要点 #

• 检查WebSphere的Java 8补丁级别，确保安装了支持TLSv1.2的最新补丁（WebSphere 8.5.5.20本身支持，但JDK补丁需跟进）。
• 查看队列管理器的AMQERR01.LOG日志，获取服务器侧握手失败的详细信息，排查证书不匹配、加密套件不兼容等问题。
• 重启WebSphere应用服务器和队列管理器，确保配置变更生效。

内容的提问来源于stack exchange，提问作者tehert