C# IBM MQ非托管客户端连接远程队列时密码保护协商失败

你遇到的错误是密码保护算法协商不一致导致通道无法建立，可从以下几个方面排查：

1. 远程通道的密码保护配置匹配性 #

• 登录远程队列管理器所在服务器，使用runmqsc命令查看通道的密码保护属性：

  DISPLAY CHANNEL(Remote_Channel) PASSWORDPROTECTION
  

  确认该属性值（如COMPAT/REQUIRED）与客户端侧配置兼容，确保两端的密码保护要求一致。

2. 客户端mqclient.ini配置检查 #

• 找到客户端的mqclient.ini文件（通常位于C:\ProgramData\IBM\MQ或MQ客户端安装目录），检查Channels节的PasswordProtection属性：

  [Channels]
  PasswordProtection=COMPAT
  

  若该属性设置过于严格（如REQUIRED），可尝试改为COMPAT兼容模式，或根据远程服务端的配置调整，确保互操作性。

3. SSL/TLS密码套件（CipherSpec）一致性 #

• 检查远程通道的SSL密码套件配置，执行runmqsc命令：

  DISPLAY CHANNEL(Remote_Channel) SSLCIPH
  

  确认服务端配置的SSLCIPH值与客户端代码中设置的ECDHE_RSA_AES_256_CBC_SHA384完全一致。两边必须使用相同的密码套件，否则会导致协商失败。
• 若两端MQ版本存在差异，需确认该密码套件是否被双方版本支持。比如旧版MQ可能不支持ECDHE系列套件，可更换为双方都兼容的套件（如TLS_RSA_WITH_AES_256_CBC_SHA256）。

4. 客户端证书与密钥库有效性 #

• 验证客户端指定的密钥库路径（C:\ProgramData\IBM\MQ\mqdev）中的证书是否有效，且证书标签（mqdev）与密钥库中的证书标签完全匹配。
• 确认远程队列管理器的信任库已导入客户端证书的公钥，同时客户端密钥库已导入远程QM的证书公钥，确保双向信任。

5. 通道认证规则（CHLAUTH）检查 #

• 查看远程队列管理器的通道认证规则，执行runmqsc命令：

  DISPLAY CHLAUTH(*)
  

  检查是否存在针对Remote_Channel的规则，限制了当前客户端的IP地址、用户权限等，这类规则可能间接导致密码保护协商失败。

客户端代码 #

using System.Collections;
using IBM.WMQ;
using System;

namespace MqClientUnmanaged
{
    class Program
    {
        static void Main(string[] args)
        {    
            var queueManagerName = "Remote_QM";
            var hostName = "xx.xxx.xxx.xxx";
            var channel = "Remote_Channel";
            var queueName = "Remote_Queue";
            var port = "5593";
            var sslKeyRepository = @"C:\ProgramData\IBM\MQ\mqdev";
            var cipherSpec = "ECDHE_RSA_AES_256_CBC_SHA384";
            var certLabel = "mqdev";

            Hashtable prop = new Hashtable();
            prop.Add(MQC.HOST_NAME_PROPERTY, hostName);
            prop.Add(MQC.PORT_PROPERTY, port);
            prop.Add(MQC.CHANNEL_PROPERTY, channel);
            prop.Add(MQC.CONNECT_OPTIONS_PROPERTY, MQC.MQCNO_RECONNECT);
            prop.Add(MQC.TRANSPORT_PROPERTY, MQC.TRANSPORT_MQSERIES_CLIENT);
            prop.Add(MQC.SSL_CERT_STORE_PROPERTY, sslKeyRepository);
            prop.Add(MQC.SSL_CIPHER_SPEC_PROPERTY, cipherSpec);
            prop.Add(MQC.CERT_LABEL_PROPERTY, certLabel);

            foreach (DictionaryEntry de in prop)
            {
                Console.WriteLine("Key: {0}, Value: {1}", de.Key, de.Value);
            }

            try
            {
                
                var queueManager = new MQQueueManager(queueManagerName, prop);

                MQQueue _queue = queueManager.AccessQueue(queueName, MQC.MQOO_INPUT_AS_Q_DEF + MQC.MQOO_FAIL_IF_QUIESCING);
                Console.WriteLine("Connected");

                MQMessage retrievedMessage = new MQMessage();
                MQGetMessageOptions gmo = new MQGetMessageOptions();

                _queue.Get(retrievedMessage, gmo);                
                Console.WriteLine("The message is: {0}", retrievedMessage.ReadString(retrievedMessage.MessageLength));
                Console.WriteLine(new string('*', 100));

            }
            catch (MQException ex)
            {
                Console.WriteLine("An IBM MQ error occurred: {0}, {1}", ex.Message.ToString(), ex.StackTrace.ToString());
                Console.ReadKey();
            }

            catch (System.Exception ex)
            {
                Console.WriteLine("A System error occurred: {0}, {1}", ex.Message.ToString(), ex.StackTrace.ToString());
                Console.ReadKey();
            }
            Console.ReadKey();
        }
    }
}

内容的提问来源于stack exchange，提问作者Colin Chin