JVM Optionen für WebService ändern

[andreaspr@aon.at]

Mach einfach einen Host-Tabellen Eintrag (GO TCPADM --> glaube Menüpunkt 1 oder 2 --> dann glaube 10 Host-Tabellen).
Dann wird die Domain auf deiner IBM i in die IP umgeschlüsselt und du brauchst keinen DNS.

lg Andreas

[Malte]

danke für die schnelle Antwort
leider bekomme ich beim Ping dann immer noch eine andere IP zurück.

MfG Malte

[KM]

nur leider weiß ich nicht wo ich auf der AS400 diese Option setzten muss.
liegt da irgendwo ein properties File versteckt?

Versuch's doch mal mit einem Eintrag in folgender Datei:

/QIBM/UserData/Java400/SystemDefault.properties

Gruß,
KM

[Fuerchau]

Per CFGTCP, Auswahl 10 kann man eine eigene DNS-Auflösung erstellen.
Allerdings muss für die DNS-Suche per Auswahl 12 dann die Prio auf *LOCAL gestellt sein.
Besser wäre es, weiter hinten in der Auswahl 12 den eigenen Router als DNS-Server einzutragen.

Dies hat aber nichts mit Zertifikaten zu tun.

[Malte]

Versuch's doch mal mit einem Eintrag in folgender Datei:

/QIBM/UserData/Java400/SystemDefault.properties

Das habe ich jetzt einmal probier leider ohne Erfolg.
Muss ich noch was neu Starten?

@Fuerchau
Mein Verdacht war das ich den Zertifikatsfehler bekomme weil ich das mit der IP und nicht mit dem Namen anspreche

[Fuerchau]

Du brauchst lokal ein Zertifikat zur Prüfung des Hosts.
Vielleicht kannst du aus dem folgenden Beitrag entnehmen, wie man in Java jeden Host akzeptiert:

https://stackoverflow.com/questions/...ct-alternative

[andreaspr@aon.at]

Das Problem sollte mit dem Host-Eintrag gelöst sein.
Ob man beim Ändern der DNS Reihenfolge irgendetwas neu starten muss, ist hier die Frage.
Die Sinnhaftigkeit von Zertifikaten und Host-Checks sollte nicht einfach ausgehebelt werden.
Gerade heute trifft man immer mehr auf Firmen die Schäden durch Cyber Attacken davongetragen haben.
Das Zertifikat sollte immer geprüft werden.
Handelt es sich um ein Self-Signed Zertifikat, so wird dieses halt einfach im Keystore von Java oder DCM hinterlegt und auch dieses Problem ist damit gelöst.

[Fuerchau]

Bei Angriffen geht es eher um aktive Inhalte als um passive Daten. Da sollte SSL bereits ausreichen.
Die dynamischen Zertifikate á la lets encrypt sind da auch nicht sicherer und eigentlich nur Browser geeigent.

[andreaspr@aon.at]

Ich sag nur Stichwort: Man in the middle

[Fuerchau]

"Simuliert der Angreifer dann einen gültigen Webserver, hat er gute Chancen, als MITM unerkannt zu bleiben".
Ich denke zu dieser Simulation gehört eben auch ein gültiges Zertifikat. Wo ist da die Sicherheit?
Außerdem hängt er ja irgendwo dazwischen, so dass ich glaube mit der richtigen IP verbunden zu sein.
Eine Direktverbindung gibts im Netz ja nicht, da sind ja durchaus zig Gateways dazwischen.

Aber das ist ein anderes Thema.

[Malte]

ok ich habe das mit der Namesauflösung jetzt hinbekommen in dem ich die Suchprio für DNS auf local gestellt habe.
nun muss ich nur noch das Problem das ich kein Zertifikat habe lösen.

Diese Fehlermeldung bekomme ich jetzt:
HTTPG00007 wird mit der Ausnahmebed. com.ibm.jsse2.util.h: PKIX path building failed:
com.ibm.security.cert.IBMCertPathBuilderException: unable to find valid certification path to requested target abgebrochen

Wie kann ich denn über den DCM ein Zertifikat einspielen? Ich habe da bis jetzt nur welche erstellt.

[andreaspr@aon.at]

Wie kann ich denn über den DCM ein Zertifikat einspielen? Ich habe da bis jetzt nur welche erstellt.

Du musst das Zert via Browser oder Tool (openssl, ...) exportieren, ins IFS stellen und dann im DCM unter Zertifikate importieren.