IIB/ACE HTTP Request节点连接AWS服务间歇报SSL套接字错误

• 通过IIB/ACE的HTTP Request节点调用托管在AWS上的第三方REST API时，间歇抛出报错：A timeout error occurred whilst performing an SSL socket operation
• 调用本地OnPrem环境部署的服务时运行完全正常，仅切换调用目标到AWS环境后才触发该问题，需要定位问题间歇发生的根因及排查方法。

• HTTP Request节点参数：协议设置为TLSv1.2，HTTP版本设置为1.1
• 运行环境版本：IBM Integration Bus v10.0.0.8、IBM ACE 12.0.1

发起POST //url**** HTTP/1.1请求调用host****地址的Web服务时检测到SOCKET错误，提示SSL套接字操作超时，对应BIPmsgs编号为3166。

这类仅跨公网调用AWS服务触发、本地调用正常的间歇SSL超时，基本集中在以下几个方向：

• AWS侧链路的空闲连接超时机制：AWS的ALB、NLB、API网关默认都配置了空闲连接超时，默认值350秒，部分用户自定义配置可能低至60秒。如果IIB/ACE的HTTP连接池复用了已经被AWS侧静默断开的长连接，发起SSL读写操作时就会直接触发套接字超时，这类问题的特征是故障间隔基本和空闲超时阈值吻合，业务低峰期出现概率更高。
• TLS协商兼容问题：AWS侧网关的TLS配置（SNI校验、会话复用ticket有效期、加密套件优先级）和IIB/ACE旧版本内置的JSSE/OpenSSL TLS栈存在兼容间隙，部分握手请求在协商环节卡住，超过节点配置的超时阈值就会抛错。
• 路径MTU黑洞：IIB/ACE所在服务器到AWS端点的公网链路存在MTU配置不匹配，携带大payload的POST请求对应的TLS报文分片后被中间设备丢弃，触发超时，这类问题在请求体超过1KB时出现概率明显升高。
• 运行环境已知缺陷：IIB v10.0.0.8、ACE 12.0.1.0存在HTTP Request节点SSL连接池的已知bug，长连接复用场景下没有正确处理对端返回的RST包，会随机触发套接字操作超时。

按以下顺序排查可以最快定位根因：

1. 链路抓包定位
   在IIB/ACE所在服务器执行tcpdump抓包，过滤规则为host <目标AWS域名解析出的IP> and port 443，复现故障后对照抓包结果判断：
   • 如果故障请求复用的连接在发请求前已经空闲超过350秒，发请求前没有三次握手过程，SSL报文发出后无任何响应包，直接判定为AWS侧断开空闲连接、IIB/ACE连接池复用失效连接导致。
   • 如果TLS Client Hello报文发出后多次重传都没有收到Server Hello响应，优先排查TLS配置兼容、中间防火墙/安全组拦截问题。
   • 如果大尺寸TLS报文分片后部分分片无响应，先把服务器出口MTU临时调整为1400再测试，验证是否为MTU黑洞问题。
2. 配置对照验证
   • 临时在HTTP Request节点添加请求头Connection: close，强制每次请求新建TCP连接，关闭长连接复用，如果测试后故障消失，即可确认问题和长连接管理相关。
   • 显式配置节点支持的加密套件列表和AWS侧网关公布的套件列表对齐，有条件的可以临时测试TLSv1.3协议连接，排除TLS协商兼容问题。
   • 临时把节点的SSL套接字超时时间从默认值调高到60秒，排除偶发公网网络延迟导致的误报。
3. 版本缺陷排除
   核对当前运行环境的补丁级别，IIB v10建议升级到10.0.0.26及以上的最终累积修复版，ACE 12.0.1建议升级到12.0.1.15及以上版本，修复已知的SSL连接池管理bug。
4. 公网链路质量校验
   在IIB/ACE服务器上用curl循环发起测试请求，命令参考curl -v --tls-max 1.2 --http1.1 -X POST <目标API地址> -d @test_request_body，连续跑1000次统计失败率，同时监控链路的平均延迟、丢包率，排除公网链路本身的质量问题。

内容的提问来源于stack exchange，提问作者Durga Prasad