Невозможно включить SNI на Java 7

Question

Я пытаюсь вызвать сервер с использованием TLS, принимая только клиентов с поддержкой SNI.

Я запускаю клиент с помощью Java 7:

$ java -version
java version "1.7.0_80"
Java(TM) SE Runtime Environment (build 1.7.0_80-b15)
Java HotSpot(TM) 64-Bit Server VM (build 24.80-b11, mixed mode)

Он должен быть включен по умолчанию, но:

• "это не работает"
• Я не могу видеть это как расширение в логах

Например, из моих журналов:

Compression Methods:  { 0 }
Extension elliptic_curves, curve names: {secp256r1, sect163k1, sect163r2, secp192r1, secp224r1, sect233k1, sect233r1, sect283k1, sect283r1, secp384r1, sect409k1, sect409r1, secp521r1, sect571k1, sect571r1, secp160k1, secp160r1, secp160r2, sect163r1, secp192k1, sect193r1, sect193r2, secp224k1, sect239k1, secp256k1}
Extension ec_point_formats, formats: [uncompressed]
Extension signature_algorithms, signature_algorithms: SHA512withECDSA, SHA512withRSA, SHA384withECDSA, SHA384withRSA, SHA256withECDSA, SHA256withRSA, SHA256withDSA, SHA224withECDSA, SHA224withRSA, SHA224withDSA, SHA1withECDSA, SHA1withRSA, SHA1withDSA
Extension renegotiation_info, renegotiated_connection: <empty>
***

Пока я ожидаю найти

Extension server_name, server_name: [host_name: my.servername.com]

Я пытался добавить флаг -Djsse.enableSNIExtension=true безусловно, без успеха.

Я делаю тесты с использованием Netty 4.0.37 и получаю это исключение:

io.netty.handler.codec.DecoderException: javax.net.ssl.SSLException: Received fatal alert: handshake_failure
    at io.netty.handler.codec.ByteToMessageDecoder.callDecode(ByteToMessageDecoder.java:442)
    at io.netty.handler.codec.ByteToMessageDecoder.channelRead(ByteToMessageDecoder.java:248)

Какой прием, чтобы включить SNI на Java 7 JVM?

Answer 1

Проблема была в конфигурации ядра Netty/SSL.

Раньше это настраивалось вот так:

public void initChannel(SocketChannel ch) throws Exception {
    SSLEngine sslEngine = SSLContext.getDefault().createSSLEngine();
    sslEngine.setUseClientMode(true);
    ch.pipeline()
      .addLast("ssl", new SslHandler(sslEngine));
}

На самом деле, он работает, когда настроен следующим образом, явно указав имя целевого сервера:

public void initChannel(SocketChannel ch) throws Exception {
    SslContext sslContext = SslContextBuilder.forClient().build();
    ch.pipeline()
      .addLast(
          sslContext.newHandler(
              ch.alloc(), 
              host, 
              port
          )
      );
}

При такой конфигурации, там должно быть в логах (с -Djavax.net.debug=all флаг установлен):

Extension server_name, server_name: [type=host_name (0), value=target.hostname.com]