升级Java后Apache2 HTTPD v2.4.23代理的Tomcat v7.0.47连接失败求助

故障关联性确认 #

你遇到的故障确实和Java 8u241及更高版本新增的默认SSL校验规则强相关，Java 8u241是Oracle JDK的重要安全更新批次，新增了多项SSL层的强制校验规则，刚好匹配你观测到的「SSL层断开、无应用层日志、仅8u231及以下版本正常」的特征。

排查步骤 #

• 第一步：优先开启SSL调试日志定位具体报错点
  在Tomcat启动参数中添加-Djavax.net.debug=ssl,handshake，重启服务后复现请求，可直接输出SSL握手全流程的日志，明确是证书校验失败、参数不匹配还是协议扩展缺失导致的断开，该方法定位效率最高。
• 第二步：校验SSL证书的SAN扩展配置
  Java 8u241开始默认强制要求TLS证书携带SubjectAltName(SAN)扩展，仅填写CN字段的旧版自签名证书会被直接拒绝握手。如果你的Tomcat侧使用的是仅含CN的旧证书，符合当前故障表现。
• 第三步：验证主机名校验规则影响
  该版本开始默认开启SSL终端身份校验，若Apache反向代理访问Tomcat时使用的主机名/IP，与证书中配置的CN、SAN条目不匹配，会直接触发握手中断。可临时添加启动参数-Djdk.tls.disableEndpointIdentification=true测试服务是否恢复，确认是否为该校验规则导致。
• 第四步：检查双向认证配置兼容性
  如果你的HTTPD与Tomcat之间配置了SSL双向认证，8u241版本对客户端证书的密钥用法、增强型密钥用法、证书链完整性的校验规则大幅收严，需确认HTTPD侧使用的客户端证书符合新的校验要求。
• 第五步：确认SNI扩展配置一致性
  Java 8u241默认开启SNI扩展强制校验，若Apache反向代理的SSL配置未携带正确的SNI信息，也会导致Tomcat侧直接中断握手。

临时修复方案 #

若需要快速上线新版Java，可通过添加启动参数临时关闭新增的严格校验，待证书或配置优化完成后再恢复安全规则：

-Djdk.tls.disableEndpointIdentification=true
-Djsse.enableSNIExtension=false

内容的提问来源于stack exchange，提问作者mmo