Netty SslHandler未发送close_notify及服务器未响应对等方FIN/close_notify问题咨询

针对你用Netty 4.1.17搭配OpenSslEngine搭建服务器遇到的两个TLS关闭问题——SslHandler未发送close_notify、服务器不响应对等方的close_notify和FIN报文，结合RFC规范要求，我整理了几个可行的解决方案：

1. 主动关闭时显式触发close_notify发送 #

Netty的SslHandler默认不会自动发送close_notify，如果直接调用Channel.close()，在OpenSslEngine场景下可能跳过SSL层的关闭流程，导致未发送close_notify。

你需要在关闭Channel前，先完成SSL层的关闭：

// 当需要主动关闭连接时，先处理SSL层关闭
ChannelPipeline pipeline = channel.pipeline();
SslHandler sslHandler = pipeline.get(SslHandler.class);
if (sslHandler != null) {
    // 发送close_notify，完成后再关闭Channel
    sslHandler.close().addListener(future -> {
        if (future.isSuccess()) {
            channel.close();
        }
    });
} else {
    channel.close();
}

注意：不要依赖ChannelFutureListener.CLOSE这类快捷关闭方式，它不会触发SSL层的close_notify发送逻辑。

2. 响应对等方的关闭报文 #

服务器需要正确处理客户端发来的close_notify和FIN报文，否则会出现连接泄漏或不符合RFC规范的情况：

处理close_notify事件 #

通过SslHandler的用户事件监听捕获SslCloseCompletionEvent，收到后主动关闭Channel：

@Override
public void userEventTriggered(ChannelHandlerContext ctx, Object evt) throws Exception {
    if (evt instanceof SslCloseCompletionEvent) {
        // 收到对等方的close_notify，关闭当前Channel
        ctx.close();
    }
    super.userEventTriggered(ctx, evt);
}

处理FIN报文 #

当收到FIN报文时，Netty会触发channelInactive事件，此时需要检查SSL层是否已关闭，若未关闭则主动发送close_notify：

@Override
public void channelInactive(ChannelHandlerContext ctx) throws Exception {
    SslHandler sslHandler = ctx.pipeline().get(SslHandler.class);
    if (sslHandler != null && !sslHandler.isClosed()) {
        // 收到FIN但SSL层未关闭，主动发送close_notify后关闭Channel
        sslHandler.close().addListener(ChannelFutureListener.CLOSE);
    }
    super.channelInactive(ctx);
}

3. 检查OpenSslEngine配置与版本 #

• 确保初始化OpenSslEngine时，没有禁用影响关闭流程的配置（比如不要设置SSL_OP_NO_RENEGOTIATION这类可能干扰TLS关闭的选项）。
• Netty 4.1.17存在一些已知的SSL关闭相关bug，建议升级到4.1.x系列的较新版本（如4.1.85.Final），这些版本修复了不少OpenSslEngine的兼容性问题，能更好地符合RFC规范。

4. 验证RFC合规性 #

根据RFC 5246（TLS 1.2）及后续TLS版本的要求，TLS连接关闭时必须双向交换close_notify：一方发送close_notify后，另一方必须响应close_notify再关闭底层TCP连接。上述方案确保了双向close_notify的交换，完全符合RFC的要求。

内容的提问来源于stack exchange，提问作者user3027786