AMQ9631E: SSL握手期间协商的CipherSpec与信道所需的CipherSpec不匹配。

Question

尝试连接到IBM队列。

下面是负责创建连接的代码：

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;
IConnection connectionMQ;

factoryFactory = XMSFactoryFactory.GetInstance(XMSC.CT_WMQ);
IConnectionFactory cf = factoryFactory.CreateConnectionFactory();

cf.SetStringProperty(XMSC.WMQ_HOST_NAME, "host");
cf.SetIntProperty(XMSC.WMQ_PORT, port);
cf.SetStringProperty(XMSC.WMQ_CHANNEL, "channel");
cf.SetIntProperty(XMSC.WMQ_CONNECTION_MODE, XMSC.WMQ_CM_CLIENT);
cf.SetStringProperty(XMSC.WMQ_QUEUE_MANAGER, "queueManager"); 
cf.SetStringProperty(XMSC.WMQ_SSL_PEER_NAME, "sslPeerName"); 
cf.SetStringProperty(XMSC.WMQ_SSL_CIPHER_SPEC, "TLS_RSA_WITH_AES_256_CBC_SHA256"); 
cf.SetStringProperty(XMSC.WMQ_CCSID, "ccSid");
cf.SetStringProperty(XMSC.WMQ_SSL_KEY_REPOSITORY, "*USER");
cf.SetStringProperty(XMSC.WMQ_SSL_CLIENT_CERT_LABEL, "clientCertLabel");

connectionMQ = cf.CreateConnection();

服务器端可见错误：

AMQ9631E: SSL握手过程中协商的CipherSpec与通道“通道”所需的CipherSpec不匹配。

说明:通道“通道”的本地端和远程端的CipherSpecs之间存在不匹配。在解决此不匹配问题之前，通道将不会运行。本地信道定义中需要的CipherSpec是‘TLS_RSA_WITH_AES_256_CBC_ The 256’。在SSL握手过程中协商的CipherSpec的名称是‘TLS_RSA_WITH_AES_256_GCM_RSA 384’。如果无法确定协商后的CipherSpec的名称，则显示代码。操作:更改“channel”的通道定义，以便两端具有匹配的CipherSpecs并重新启动通道。当使用“任意”类型的CipherSpecs时，确保客户端CipherSpec值满足在通道‘通道’上设置的'TLS_RSA_WITH_AES_256_CBC_SHA256‘CipherSpec的要求。如果客户端设置为使用“任意”类型的CipherSpecs，则TLS握手可能使用比信道定义CipherSpec所允许的更高的协议。如果通道一端使用的证书是全局服务器证书，则协商后的CipherSpec可能与通道两端指定的证书不匹配。这是因为SSL协议允许全局服务器证书自动协商更高级别的加密。在这些情况下，指定满足全局服务器证书要求的CipherSpec。

为什么，尽管通过.net传递TLS_RSA_WITH_AES_256_CBC_SHA256，您仍然可以在服务器端日志中看到TLS_RSA_WITH_AES_256_GCM_SHA384？

客户在红帽上。

Answer 1

对于IBM /XMS .NET客户端，应用程序级别的密码集仅用于确定TLS版本。运行在上的客户端： IBM /XMS .NET客户端依赖于微软的SSLStreams for SSL Communication.To设置首选密码，必须启用和编辑Windows组策略才能使用特定的密码。启用和编辑该机器后，必须重新启动该机器以拾取更改。请注意，Windows组策略中的更改适用于机器上运行的所有应用程序。

下面的KC页面有关于it的更多信息，https://www.ibm.com/docs/en/ibm-mq/9.1?topic=client-cipherspec-support-managed-net

对于运行在Linux上的客户端，.NET使用，因此要设置CipherSpec首选项，必须编辑openssl配置文件