将 BoringSSL 与 Hazelcast IMDG 一起使用的正确配置设置是什么？

Question

我将 Hazelcast 作为缓存服务运行，看来我可以使用 BoringSSL 提高性能，而且这更简单，因为我不需要安装额外的软件

阅读他们的文档：https://docs.hazelcast.com/imdg/4.1.2/security/integrating-openssl.html

我看到我只需要两个罐子，但我没有看到任何关于配置设置的提及。我是否只使用 BasicSSLContextFactory 的 Java SSL 设置？

我知道我可以使用 com.hazelcast.nio.ssl.BasicSSLContextFactory 此处提到的 https://docs.hazelcast.com/imdg/4.1.2/security/tls-ssl.html#tlsssl-for-hazelcast-members 用于 Java SSL 实现

他们还为 OpenSSL 集成提供 com.hazelcast.nio.ssl.OpenSSLEngineFactory (https://docs.hazelcast.com/imdg/4.1.2/security/integrating-openssl.html#using-openssl)

Answer 1

BoringSSL 是使用 OpenSSL 的库。所以this link 是一个很好的来源。但是，如果你不绑定旧的 Java 版本，那么现在 Java TLS 比 OpenSSL 更快，所以不需要 BoringSSL。

由于 SSL 是 Hazelcast Enterprise 功能，如果您需要更详细的帮助，请随时提出 Hazelcast Zendesk Ticket。

Answer 2

从 Hazelcast 4.0 版开始，有以下逻辑决定使用哪个 TLS 引擎：

• 当 Java 版本 和 netty-tcnative 包（包装 OpenSSL、BoringSSL 等）在类路径上时：使用 @987654324 @;
• 在所有其他情况下：使用BasicSSLContextFactory。

当然，您不需要使用默认值，但您可以使用您选择的工厂指定 factory-class-name 配置属性。

您可以在OpenSSLEngineFactory 中使用与BasicSSLContextFactory 中相同的属性（例如keyStore*、trustStore*）。尽管如此，配置OpenSSLEngineFactory 的本机方式是使用keyFile 和文档section about OpenSSL 中提到的其他属性。

为什么要检查 Java 11

如上所述，OpenSSLEngineFactory 默认情况下不用于 Java 11 及更高版本。该决定基于 Hazelcast 性能测试，该测试显示 OpenSSL 与 Java 8 一起使用时的性能优势，而不是与 Java 11（或更高版本）一起使用。

以下是这些测试的吞吐量图（2019 年执行）。

TLSv1.2

TLSv1.3