JMeter录制Google云应用遇javax.net.ssl.SSLHandshakeException未知CA错误

数据老陈

2026-6-13

问题描述

我在公司虚拟机上使用JMeter 5.4.3（搭配Azul Zulu JDK 11.76.21）录制Google云托管的应用流程，通过JMeter代理访问目标站点。网络团队已确认虚拟机到目标URL的连接无阻塞，所有端口均开放。启动录制后能正常访问microsoft.com等第三方站点，但访问目标应用时先出现连接重置错误，刷新页面后触发javax.net.ssl.SSLHandshakeException: Received fatal alert: unknown_ca错误。我已配置JMeter客户端证书并放入受信任CA文件夹，调整过https.socket.protocol参数（尝试过SSLv2、SSLv3、TLS、TLS1等，当前使用TLSv1.3），但问题仍未解决，完全无法录制任何步骤。错误栈如下：

javax.net.ssl.SSLHandshakeException: Received fatal alert: unknown_ca
at sun.security.ssl.Alerts.getSSLException(Unknown Source)
at sun.security.ssl.Alerts.getSSLException(Unknown Source)
at sun.security.ssl.SSLSocketImpl.recvAlert(Unknown Source)
at sun.security.ssl.SSLSocketImpl.readRecord(Unknown Source)
at sun.security.ssl.SSLSocketImpl.readDataRecord(Unknown Source)
at sun.security.ssl.AppInputStream.read(Unknown Source)
at java.io.BufferedInputStream.fill(Unknown Source)
at java.io.BufferedInputStream.read(Unknown Source)

解决方法

1. 确保JMeter代理证书被浏览器信任

录制HTTPS站点时，JMeter会生成临时根证书ApacheJMeterTemporaryRootCA.crt（默认存放在JMeter的bin目录下），必须将该证书导入浏览器的受信任根证书颁发机构区域，而非普通受信任证书区域。导入后重启浏览器，再尝试录制。

2. 检查客户端证书的信任链完整性

如果你的客户端证书由中间CA签发，需同时将中间CA证书导入JMeter使用的JDK信任库，不能只导入根CA。
在JMeter的HTTP(S) Test Script Recorder中，通过SSL Manager重新加载客户端证书（支持.p12或.jks格式），确认密码输入正确。

3. 导入目标应用的CA证书到JDK信任库

使用Azul Zulu JDK 11的keytool命令，将目标应用的根CA证书导入JDK默认信任库：

keytool -importcert -alias target-app-ca -file /path/to/your-target-ca.crt -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit

默认信任库密码为changeit，若公司修改过密码，需联系运维获取。

4. 调整SSL协议版本

TLSv1.3可能与目标应用不兼容，先强制使用TLSv1.2测试：

编辑JMeter安装目录下的user.properties文件，添加或修改：
```
https.socket.protocol=TLSv1.2
```
确保录制生成的HTTP Request采样器中，Implementation选择HttpClient4。

5. 排查连接重置的根源

检查虚拟机是否存在系统级代理（如IE代理、环境变量HTTP_PROXY/HTTPS_PROXY），确保与JMeter代理设置一致，避免双重代理冲突。
临时关闭虚拟机上的防火墙、杀毒软件，确认它们没有拦截JMeter代理端口（默认8888）或目标应用的443端口。

内容的提问来源于stack exchange，提问作者satya