JBoss EAP 6.4如何禁用SSL仅启用TLSv1.2？配置后仍有问题求助

先梳理下你已经完成的配置动作：

• JVM参数指定了https.protocols、jdk.tls.client.protocols等为TLSv1.2
• standalone-full.xml里的SSL连接器明确设置了protocol="TLSv1.2"
• JDK的jdk.tls.disabledAlgorithms禁用了SSL、SSLv2/3、TLSv1/1.1

但目前SSL协议的客户端仍能正常连接，下面是几个针对性的排查方向：

1. 确认JBoss加载的是目标配置文件 #

很多时候启动脚本默认加载的是standalone.xml而非standalone-full.xml，你可以：

• 检查启动命令是否包含-c standalone-full.xml参数
• 查看JBoss启动日志，确认日志中输出的加载配置文件路径是否为你修改的standalone-full.xml

2. 修正SSL连接器的配置写法 #

JBoss EAP 6.4中，<ssl>标签的protocol属性直接写TLSv1.2可能存在兼容性问题，更可靠的写法是用protocol="TLS"配合enabled-protocols明确指定允许的版本，完整配置示例：

<connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" secure="true">
    <ssl name="https" password="mdmitst" 
         certificate-key-file="/local/apps/java_server/engines/jboss/jboss-eap-6.4/mdmws/configuration/mdmitst.jks" 
         protocol="TLS" 
         enabled-protocols="TLSv1.2"
         verify-client="false" 
         ca-certificate-file="/local/apps/java_server/engines/jboss/jboss-eap-6.4/mdmws/configuration/mdmwsserver.truststore" 
         ca-certificate-password="mdmtrn"/>
</connector>

同时要确保<ssl>标签完全嵌套在<connector>标签内部，配置结构没有语法错误。

3. 修复JDK配置的格式问题 #

你当前的jdk.tls.disabledAlgorithms配置中，逗号后存在空格：

jdk.tls.disabledAlgorithms=SSL,SSLv2,SSLv3, TLSv1, TLSv1.1

这个空格可能导致JDK解析配置失败，正确格式应该是无空格的：

jdk.tls.disabledAlgorithms=SSL,SSLv2,SSLv3,TLSv1,TLSv1.1

另外要确认你修改的是JBoss实际使用的JDK配置文件——通过ps aux | grep java查看JBoss进程的JDK路径，再对应检查该路径下的jre/lib/security/java.security。

4. 排查是否存在配置冲突 #

• 检查JBoss是否还配置了其他HTTPS连接器，或者有没有在应用的web.xml中设置<user-data-constraint>等SSL相关参数，覆盖了全局配置
• 确认没有第三方依赖库在代码层面强制启用了SSL协议

5. 用工具验证服务器实际支持的协议 #

用openssl工具直接测试服务器的协议支持情况：

# 测试SSLv3是否能连接
openssl s_client -connect your-server-ip:your-https-port -ssl3
# 测试TLSv1是否能连接
openssl s_client -connect your-server-ip:your-https-port -tls1

如果测试显示旧协议仍能建立连接，说明配置确实未生效；如果连接被拒绝，那可能是客户端实际使用的是TLSv1.2但被误判为SSL。

6. 检查JBoss补丁是否到位 #

JBoss EAP 6.4的早期版本存在一些SSL协议处理的bug，建议查看Red Hat官方补丁列表，确认是否有针对TLS协议强制的补丁需要安装，安装后重启服务器再测试。

内容的提问来源于stack exchange，提问作者Abhimanyu Kumar