WSO2AM-3.2.0调用HTTPS端点报101500错误解决咨询

a) 报错修复步骤 #

该101500错误属于网关发送请求到后端时的通用异常，结合你的场景90%概率为TLS握手失败，可按以下顺序排查修复：

• 确认证书导入配置生效：
  如果你是将证书上传到API发布页的端点证书配置栏，需先在<APIM_HOME>/repository/conf/deployment.toml中添加配置开启单端点证书功能：

  [apim.gateway]
  enable_per_endpoint_cert = true
  

  若不想开启该功能，可直接将3个证书全部导入网关全局信任库，导入命令为：
  keytool -importcert -file 证书文件路径.cer -alias 自定义唯一别名 -keystore <APIM_HOME>/repository/resources/security/client-truststore.jks -storepass wso2carbon
  导入完成后需重启网关服务生效。
• 验证网络连通性：在WSO2服务器所在节点执行curl命令测试后端可达性：
  curl -v https://ssl.croinform.ru:450/api.test --cacert 根证书路径
  若该命令无法正常返回，先解决服务器网络、防火墙策略问题。
• 开启TLS debug日志定位具体问题：
  在<APIM_HOME>/repository/conf/log4j2.properties中添加以下配置，重启服务后查看TLS握手的详细报错，确认是证书不信任、TLS版本不匹配还是加密套件不兼容：

  logger.jssl.debug.name = javax.net.ssl
  logger.jssl.debug.level = DEBUG
  logger.jssl.debug.additivity = false
  

b) 是否需要额外配置加密规则 #

若排查后确认是TLS版本或加密套件不匹配导致的握手失败，需要额外配置加密规则：
在<APIM_HOME>/repository/conf/deployment.toml中添加HTTPS发送端的TLS配置，对齐你用curl调用成功时使用的TLS版本和加密套件即可：

[transport.passthru.https.sender]
HttpsProtocols = "TLSv1.2,TLSv1.3"
PreferredCiphers = "你用curl测试后端返回的加密套件列表，多个用英文逗号分隔"

如果后端要求双向TLS认证，还需将客户端证书导入网关的发送端密钥库<APIM_HOME>/repository/resources/security/wso2carbon.jks并配置对应的证书别名。

c) WSO2-AM是否使用openssl实现加密能力 #

WSO2 APIM基于Java生态开发，默认使用JDK内置的JSSE（Java安全套接字扩展）实现TLS加密能力，并不直接依赖openssl。你本地curl使用的是openssl的配置逻辑，和WSO2默认的JSSE规则存在差异，因此会出现curl可正常调用但WSO2调用失败的情况，对齐两者的TLS版本、加密套件和信任证书即可解决问题。

内容的提问来源于stack exchange，提问作者torch