ActiveMQ Classic自签名证书SSL连接配置问题求助

一、修正自签名证书生成步骤 #

你原有的证书生成流程存在几处错误，导致后续配置失效，重新执行以下正确步骤：

1. 生成Broker（服务器）密钥库
   执行时确保CN（通用名称）与ActiveMQ服务器的域名或公网IP一致，否则客户端会触发证书不匹配错误：

   keytool -genkey -alias broker -keyalg RSA -keystore amq-server.ks -keysize 2048 -validity 3650
   

   按提示设置密钥库密码、密钥密码（建议与密钥库密码一致），并填写服务器标识信息。

2. 导出Broker证书（供客户端信任使用）
   注意密钥库名称与步骤1保持一致，且文件名不要包含空格：

   keytool -export -alias broker -keystore amq-server.ks -file amq-server.cert
   

   执行后生成的amq-server.cert是客户端验证服务器身份的核心文件。

3. 创建客户端信任库并导入Broker证书
   这是客户端验证服务器的关键步骤：

   keytool -import -alias broker -keystore client.ts -file amq-server.cert
   

   按提示设置信任库密码，确认信任证书时输入yes即可。

单向SSL场景下，无需生成客户端专属密钥库（仅双向SSL需要），可跳过相关步骤。

二、修正ActiveMQ配置 #

1. 配置sslContext（单向SSL仅需服务器密钥库） #

单向SSL中，Broker仅需加载自身密钥库，无需配置信任库（强制验证客户端证书是双向SSL的需求）。修改activemq.xml中的sslContext节点：

<sslContext>
    <sslContext keyStore="file:${activemq.base}/conf/amq-server.ks"
                keyStorePassword="你的密钥库密码" />
</sslContext>

确保amq-server.ks已放入ActiveMQ的conf目录，Ubuntu系统需给文件设置ActiveMQ进程可读取的权限，例如：chown activemq:activemq /opt/activemq/conf/amq-server.ks

2. 修正SSL传输连接器配置 #

原配置存在语法错误，同时明确单向SSL的核心参数：

<transportConnector name="openwire" uri="tcp://0.0.0.0:1883?maximumConnections=1000&amp;wireFormat.maxFrameSize=104857600"/>
<transportConnector name="ssl" uri="ssl://0.0.0.0:61714?transport.enabledProtocols=TLSv1.2,TLSv1.3&amp;needClientAuth=false"/>

needClientAuth=false是单向SSL的关键，代表服务器不要求客户端提供证书，仅需客户端验证服务器证书。

三、MQTT.fx客户端配置（单向SSL） #

1. 新建连接配置，选择SSL/TLS作为连接方式。
2. 在SSL/TLS设置中，选择Truststore选项，点击Browse导入你生成的client.ts文件，输入信任库密码。
3. 不要勾选使用客户端证书（单向SSL无需客户端向服务器提交证书），填写正确的服务器地址、端口、客户端ID等参数。
4. 点击Connect完成连接，客户端会自动验证服务器证书，通过后即可建立SSL加密连接。

四、常见问题排查 #

• 证书CN不匹配：重新生成服务器证书，确保CN与客户端连接时使用的IP/域名完全一致。
• 文件权限不足：Ubuntu下需确保ActiveMQ运行用户拥有密钥库文件的读取权限。
• 密码不匹配：检查sslContext中的密码与生成密钥库时设置的密码完全一致（区分大小写）。
• 端口未开放：执行ufw allow 61714/tcp开放SSL端口，或检查服务器防火墙规则。

内容的提问来源于stack exchange，提问作者activemq