IBM App Connect中javax.net.ssl.SSLHandshakeException错误解决咨询

问题核心分析 #

你遇到的BIP3165S错误本质是SSL握手失败，原因是本地信任库中缺少API服务器证书的信任链（PKIX路径构建失败）。即使你认为已禁用SSL仍报错，大概率是以下两种情况：

1. 实际请求仍在走HTTPS（比如URL是https://开头、API强制跳转HTTPS、配置未生效）
2. 消息流/代理的SSL配置未彻底关闭

分步解决方案 #

一、先确认SSL是否真的被禁用 #

• 检查REST请求节点配置：
  确保节点的「连接类型」选择HTTP，并且请求URL是http://开头，而非https://。如果之前配置过HTTPS，修改后需重启消息流生效。
• 排查API服务器跳转规则：
  很多启用安全认证的API会强制将HTTP请求重定向到HTTPS，此时即使你发HTTP请求，也会被自动转为HTTPS请求，触发SSL握手。可以用curl测试：

  curl -v http://<api-host>:<port>/<api-path>
  

  如果返回301/302跳转至HTTPS，说明API不支持纯HTTP访问，必须使用HTTPS。

二、针对HTTPS场景的证书信任修复（核心解决方法） #

如果API必须用HTTPS，需将API服务器的完整证书链导入IIB的信任库：

1. 获取API的完整证书链

   • 方法1：用浏览器打开API的HTTPS地址，点击地址栏锁图标，导出包含根CA、中间CA的完整证书链（保存为.crt格式）。
   • 方法2：用openssl命令导出：

     openssl s_client -connect <api-host>:<port> -showcerts > api_certs.crt
     

     打开生成的api_certs.crt，将每一段-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----的内容分别保存为单独的.crt文件（根CA、中间CA、服务器证书）。

2. 导入证书到IIB信任库
   IIB默认使用的信任库为<IIB安装目录>/common/security/key.jks，使用IBM官方工具runmqckm导入（避免keytool的兼容性问题）：

   # 导入根CA证书
   runmqckm -cert -add -db /opt/ibm/iib-10.0.0.20/common/security/key.jks -pw WebAS -label "API_Root_CA" -file /path/to/root_ca.crt -format ascii
   
   # 导入中间CA证书（如果有）
   runmqckm -cert -add -db /opt/ibm/iib-10.0.0.20/common/security/key.jks -pw WebAS -label "API_Intermediate_CA" -file /path/to/intermediate_ca.crt -format ascii
   

   注意：

   • 替换路径为你的IIB安装路径和证书路径
   • 默认信任库密码为WebAS，如果已修改需替换为实际密码
   • 集群部署需在所有节点的信任库重复此操作

3. 配置REST请求节点使用信任库
   在REST请求节点的「SSL选项」中，指定信任库路径和密码，确保节点使用的是已导入证书的信任库。如果用默认信任库，只需确认密码正确即可。

4. 重启验证
   重启IIB集成节点和目标消息流，重新测试REST请求。

三、其他排查点 #

• 如果IIB使用自定义JVM，需将证书导入JVM的cacerts信任库：

  keytool -importcert -file /path/to/api_certs.crt -alias "API_Certs" -keystore <JVM路径>/jre/lib/security/cacerts -storepass changeit
  

• 检查防火墙/代理服务器是否强制将HTTP转为HTTPS，如有需调整代理规则。

内容的提问来源于stack exchange，提问作者Miguel Jackson