您现在的位置：程式碼之家 >> 編程語言 > >> Java 程式設計 >> Java 相關知識

WebLogic SSL 升級遷移實戰：雙向認證配置變更導致的解密錯誤根因分析

編輯：Java 相關知識

事件回顧：從證書更新到集群崩潰

某客戶將 WebLogic Server 從 8.1 SP1 升級至 8.1 SP4，同步進行大規模證書更新（數量龐大、構建流程複雜、簽名流程漫長）。升級初期測試通過，但尖峰負載下出現**負載均衡失效**：部分節點承擔全部流量，其餘節點幾乎空閒。標準故障排查無果，緊急重啟全叢集暫時緩解。數日後再次重啟兩節點，次日全環境爆發核心錯誤：

<DECRYPT_ERROR> A decryption error occurred during the SSL handshake.
Received alert from x.x.x.x: DECRYPT_ERROR

現象分析：遊離節點的破壞力

觸發條件：節點重啟後嘗試重新加入叢集時發生 SSL 握手失敗。
連鎖反應：Apache 插件仍認為該節點在叢集中，持續轉發請求；節點回應「我是唯一節點」，導致流量黑洞。
監控指標：關注日誌 BEA-000112 (節點加入) 與 BEA-000113 (節點離開)，立即下線異常節點。

根因溯源：隱性配置變更

關鍵發現

對比 8.1 SP1 與 8.1 SP4 預設配置，發現 SSL 屬性 TwoWaySSLEnabled 預設值發生變更：

版本	TwoWaySSLEnabled 預設值	管理控制台顯示
8.1 SP1	false	Client Certificate Not Requested
8.1 SP4	true (但不強制)	Client Certificate Requested But Not Enforced

文檔陷阱：config.xml 文檔聲稱該屬性僅支援 true/false，實際控制台提供第三種語義「請求但不強制」，導致遷移腳本未同步此隱性變更。

技術機制解析

Client Certificate Not Requested：Server 僅發送自身證書，不請求 Client 證書，握手單向驗證。
Client Certificate Requested But Not Enforced：Server 發送 CertificateRequest 訊息，Client 可選發送證書；若 Client 發送證書但驗證失敗，握手繼續（不強制）。
Client Certificate Requested And Enforced：強制雙向驗證，Client 必須提供有效證書。

升級後 Server 主動請求 Client 證書，但舊版 Client (或 Apache 插件) 未配置 Client 證書或信任鏈不全，導致握手過程中產生無效加密參數，觸發 DECRYPT_ERROR。

解決方案與驗證

即時修復

<!-- config.xml 显式設定回單向 SSL -->
<Server ...>
    <SSL>
        <TwoWaySSLEnabled>false</TwoWaySSLEnabled>
    </SSL>
</Server>

重啟受影響節點，叢集恢復正常負載均衡。

長期治理

配置基線版本化：config.xml 納入 Git 管理，升級前導出基線，升級後 Diff 對比所有屬性變更。
屬性白名單機制：建立關鍵安全屬性清單 (SSL 協議版本、加密套件、雙向認證模式、證書驗證深度)，升級必審。
雙向 SSL 遷移清單：若業務確需啟用雙向 SSL，需同步完成：Client 證書簽發部署、信任鏈匯入、Apache 插件 SSLVerifyClient optional/require 配置、測試環境全鏈路驗證。
域目錄備份策略：參考後續文章《Ghost in the Korn Shell》，建立域目錄災備與無狀態重建流程。