Java客户端连接RabbitMQ启用SSL时遇连接重置及未知CA错误

问题场景 #

• 基于amqp-client开发的Java RabbitMQ客户端，非SSL连接正常，启用SSL后出现连接重置
• Java端错误日志：java.net.SocketException: Connection reset
• RabbitMQ端错误日志：SSL: certify: ssl_handshake.erl:1490:Fatal error: unknown ca
• SSL调试日志显示：ClientHello、ServerHello阶段交互正常，可信证书已识别，但在CertificateVerify步骤连接被重置；进一步发现证书链签名算法为SHA256withRSA，而CertificateVerify消息使用的是SHA512withRSA

核心结论 #

这确实是导致握手失败的关键原因。

原因分析 #

RabbitMQ依赖的Erlang SSL实现对签名算法的一致性校验非常严格：

• 当客户端在CertificateVerify阶段使用的签名算法，与服务器/客户端证书链本身的签名算法不匹配时，Erlang SSL模块会直接终止握手，且返回的错误日志"unknown ca"属于通用提示，实际根源是签名算法不兼容
• Java客户端默认会优先选用高强度的签名算法（如SHA512withRSA），如果RabbitMQ服务器配置的证书链基于SHA256withRSA签名，且未开启混合签名算法支持，就会触发连接重置

解决步骤 #

1. 强制Java客户端使用匹配的签名算法
   可以通过JVM启动参数指定：

   -Djdk.tls.client.protocols=TLSv1.2
   -Djdk.tls.signatureAlgorithms="SHA256withRSA"
   

   或者在代码中自定义SSLContext时设置：

   SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
   sslContext.init(keyManagers, trustManagers, new SecureRandom());
   SSLParameters params = sslContext.getDefaultSSLParameters();
   params.setSignatureAlgorithms(new String[]{"SHA256withRSA"});
   
   ConnectionFactory factory = new ConnectionFactory();
   factory.useSslProtocol(sslContext);
   factory.getSslContext().getDefaultSSLParameters().setSignatureAlgorithms(new String[]{"SHA256withRSA"});
   

2. 调整RabbitMQ SSL配置，支持对应签名算法
   在rabbitmq.conf中添加或确认以下配置：

   ssl.options.cacertfile = /path/to/your/ca.crt
   ssl.options.certfile = /path/to/your/server.crt
   ssl.options.keyfile = /path/to/your/server.key
   ssl.options.verify = verify_peer
   ssl.options.fail_if_no_peer_cert = false
   ssl.options.secure_renegotiate = true
   # 同时包含证书链和CertificateVerify所用的签名算法
   ssl.options.signature_algorithms = SHA256withRSA,SHA512withRSA
   

3. 重新校验证书链完整性
   确认CA证书、服务器证书、客户端证书的签名算法一致，且所有证书都正确加入到Java信任库（cacerts）和RabbitMQ的CA证书目录中

内容的提问来源于stack exchange，提问作者athabaska