运行于AWS ECS的Java应用连接Solace时突现CertificateException如何排查

当前报错并非简单的域名不匹配、证书过期问题，而是Java客户端在做TLS证书路径校验时，发现Solace服务返回的证书链上，相邻两个证书的「签发者名称（Issuer）」和「主题名称（Subject）」无法匹配，导致整条证书信任链断开，校验直接失败。
因为通信链路已经稳定运行数月，问题基本都是近期的配置变更触发的，而非初始配置错误。

• Solace侧更新/续期TLS证书时，漏配了配套的中间CA证书：只把新的终端域名证书上传到了Solace的端口TLS配置里，没有把对应的中间CA证书拼接到服务端返回的证书链中，导致客户端拿到的证书链是截断、断开的。
• Solace证书续期时配置错配：拉取的新证书和本地留存的旧中间CA文件版本不匹配，两者的主题、签发者字段无法对应，链上断连。
• ECS端Java应用的运行环境发生变更：比如ECS任务更新时替换了基础Java镜像，新镜像内的信任库丢失了之前手动导入的Solace私有CA证书，或者之前自定义配置的信任库路径因为镜像目录变更失效，导致Java无法正确识别现有证书链的信任关系。
• 内网DNS解析漂移：my-solace-domain-name的DNS记录被误修改，原本指向Solace实例的解析现在指向了其他同环境服务，客户端从目标服务拿到的证书和原有Solace证书链完全不匹配，自然无法通过链式校验。
• Solace前置的TLS代理/NLB配置变更：如果Solace前面挂了带TLS终止的代理组件，近期更新代理证书时没有同步正确的证书链配置，客户端拿到的是不完整的代理证书链，也会触发同类报错。

所有操作不需要复杂的证书领域知识，按步骤走即可定位问题

• 第一步：直接在ECS任务同VPC的网络环境下，用OpenSSL命令测试Solace端口返回的证书链完整性
  执行命令：
  openssl s_client -connect my-solace-domain-name:55443 -showcerts
  逐行核对输出的证书链：每两个相邻证书中，前一个证书的Issuer字段必须和后一个证书的Subject字段完全一致。如果出现字段不匹配的情况，说明问题出在Solace服务端返回的证书链本身，不需要改动Java应用。
• 第二步：针对Solace侧的断链问题修复
  登录Solace管理控制台，定位55443端口的TLS证书配置，确认上传的PEM证书文件是完整的——文件内容需要按顺序包含「Solace域名终端证书、所有配套的中间CA证书」。如果之前只上传了终端证书，就把从证书签发机构拿到的完整证书链内容补充到配置里，重启TLS配置生效后，重新执行上面的OpenSSL命令，直到看到输出Verify return code: 0 (ok)即代表证书链正常。
• 第三步：针对Java应用侧的问题修复
  确认OpenSSL测试的证书链完全正常后，再排查应用端配置：
  • 从OpenSSL输出中导出完整的Solace证书链PEM文件，确认证书链的根CA已经导入到Java应用实际使用的信任库中。如果是内部私有CA签发的证书，用keytool命令把对应CA证书导入信任库即可，注意不要导错到容器内不存在的路径。
  • 核对近期ECS任务的变更记录，确认这次更新有没有无意间替换了带自定义信任配置的基础镜像，把之前手动配置的信任库内容、自定义TLS参数丢失。
• 第四步：排查DNS解析问题
  在应用运行环境内执行nslookup my-solace-domain-name，确认解析到的IP是Solace实例的内网IP。如果解析结果和实际Solace IP不一致，修正内网DNS的A记录即可恢复正确指向。
• 注意：修复过程中不要临时关闭Java客户端的TLS证书校验逻辑快速恢复业务，这种操作会引入中间人攻击的安全风险，定位到证书链的断点后补全对应配置即可稳定解决问题。

内容的提问来源于stack exchange，提问作者CAMD_3441