IBM MQ.Net CertificateLabel、CipherSpec

Question

我正在尝试连接到远程 IBM MQ 服务器 (v.8.0) 并收到以下错误。我在 Windows 10 上使用 .Net 4.5.2。 我已经修改了客户端安装附带的 SimplePut.exe 程序。我想我可能缺少与我颁发并按照他们的说明安装的客户端证书有关的内容。可能是 CertificateLabel 设置？我对 IBM MQ 非常陌生，因此非常感谢任何帮助。

-h <host> -p 1434 -s TLS_RSA_WITH_AES_256_CBC_SHA256 -q INS -l connection -k *SYSTEM

我运行程序时队列管理器显示的错误如下：

Cause . . . . . :
There is a mismatch between the CipherSpecs on the local  and remote ends of
channel ''. The channel will not run until this mismatch is resolved.
The local CipherSpec is 'TLS_RSA_WITH_AES_256_CBC_SHA256' and the remote
CipherSpec is 'TLS_RSA_WITH_AES_128_CBC_SHA256'.
Recovery  . . . :
Change the channel definition for '' so that both ends have matching
CipherSpecs and restart the channel.

Answer 1

MQ v8.0 知识中心页面“Configuring SSL for managed IBM MQ .NET”声明如下：

c。如果需要，请编辑 Windows 组策略以设置 CipherSpec，然后为使 Windows 组策略更新生效，请重新启动计算机。

和

一个。设置 MQEnvironment 或 SSLCipherSpec 值以将连接表示为安全连接。您指定的值用于标识正在使用的 SSL 协议（SSL 或 TLS），并且必须与您在 Windows 组策略中指定的任何首选项匹配。

MQ v8.0 知识中心页面“CipherSpec support for the managed .NET client”更详细：

对于 IBM MQ.NET 托管客户端，SSL 设置适用于 Microsoft.NET SSLStream 类。对于 SSLStream、CipherSpec 或 CipherSpecs 首选项列表，只能在 Windows 组策略中设置，这是计算机范围的设置。 SSLStream 然后在与服务器握手期间使用指定的 CipherSpec 或首选项列表。对于其他 IBM MQ 客户端，可以在 IBM MQ 通道定义的应用程序中设置 CipherSpec 属性，并且相同的设置用于 SSL 协商。 由于此限制，SSL/TLS 握手可能会协商任何受支持的 CipherSpec，而不管 IBM MQ 通道配置中指定了什么。因此，这很可能会导致错误 队列管理器上的 AMQ9631。为避免此错误，将与您在应用程序中设置的 CipherSpec 设置为 Windows 组策略中的 SSL 配置。

---

Windows 组策略

在 Windows 组策略上设置 CipherSpec 时，必须为 SVRCONN 通道和应用程序中的 SSLCipherSpec 属性值设置相同的 CipherSpec。 如果 Windows 组策略设置为默认值，即未为 CipherSpec 设置启用/编辑组策略，应用程序必须在 Windows 组策略 SSL 配置中设置相同的 CipherSpec 默认值 MQEnvironment 类或 MQQueueManager 构造函数哈希表属性中。

---

关于使用 Managed .NET 指定证书标签的更新

MQ v8.0 知识中心页面“Using certificates for the managed .NET client”详细介绍了允许 MQ 查找证书的两个选项：

按证书标签匹配证书

如果您设置证书标签，IBM MQ 管理的 .NET 客户端会搜索具有给定标签名称的 Windows 证书存储库以识别客户端证书。它加载所有匹配的证书并使用列表中的第一个证书。设置证书标签有两种选择：

• 可以在访问 MQEnvironment.CertificateLabel 的 MQEnvironment 类上设置证书标签。
• 证书标签也可以在哈希表属性中设置，作为 MQQueueManager 构造函数的输入参数提供，如下例所示。
  Hashtable properties = new Hashtable();
properties.Add("CertificateLabel", "mycert");
  名称("CertificateLabel") 和值区分大小写。

---

按字符串匹配证书

如果未设置证书标签，则搜索并使用与字符串“ibmwebspheremq”和当前登录用户（小写）匹配的证书。

---

更新其他有用的博文

@renz 找到了由 Sudhanshu Pant“ MQ v8: SSL connection in Managed MQ .NET”发布的 IBM developerWorks MQdev 博客，该博客也有很好的屏幕截图信息。