Взаимный SSL между профилем WAS Liberty и сервером IBM HTTP

Question

Я хотел бы включить проверку подлинности клиента в профиле WAS, чтобы связь b/w с веб-сервером и сервером приложений находилась во взаимном SSL.

На IHS у меня есть файл плагина для FW трафика на сервер приложений в HTTPS с помощью keyring и stashfile. Он работает и FW трафик на WLP.

На сервере WLP server.xml Я включаю аутентификацию клиента для принудительного использования WLP для аутентификации сертификата, предоставляя clientAuthentication = "true" в элементе <ssl>.

<ssl id="defaultSSLConfig" keyStoreRef="defaultKeyStore" trustStoreRef="defaultTrustStore" clientAuthentication="true" /> 

Я стараюсь, чтобы проверить это, непосредственно поражая сервер приложений, используя браузер с HTTPS адрес (без сертификата клиента) и, как ожидается, получит доступ запрещен. А для доступа к серверу приложений через сервер приложений должен предоставлять доступ, если работает SSL-соединение. Однако, как напрямую, так и через сервер приложений, я могу получить доступ к ресурсу.

Эта настройка явно неверна или не завершена. Есть предположения?

Answer 1

У меня есть разрешение. Я пропустил <sslOptionRef id="defaultSSLConfig" /> внутри <httpEndpoint>. У меня сложилось впечатление, что он автоматически заберет один один один элемент <ssl>, который я определил в server.xml. Но без sslOptionRef аутентификация клиента каким-то образом не работает и не аутентифицирует клиента.

Теперь с <sslOptionRef>, определенным в server.xml, аутентификация клиента работает нормально, что я могу получить доступ только к серверу приложений WLP через мой веб-сервер в своем браузере в https.