Я не использовал stunnel, поэтому оставлю эту часть ответа другому респонденту. Что касается WMQ, имейте в виду, что это обеспечит вам конфиденциальность данных и целостность данных по каналу Stunnel, но не даст вам услуги на уровне канала, такие как аутентификация WMQ. Правда, у вас будет некоторый уровень аутентификации на самом соединении Stunnel, но любой, у кого есть TCP-маршрут к QMgr, который не приходит через Stunnel, также сможет запустить этот канал.
Очевидно, что ваше требование безопасности включает в себя конфиденциальность данных. Если он также включает в себя аутентификацию и авторизацию, вам может потребоваться использовать что-то вроде BlockIP2 (от http://mrmq.dk) для фильтрации входящих соединений в этом канале по IP-адресу, чтобы гарантировать, что они поступают по каналу Stunnel. Конечно, ничто не мешает кому-то на удаленном конце указать любое имя канала для подключения, поэтому, если вы защищаете один канал, вам нужно защитить их все - т.е. убедитесь, что SYSTEM.DEF. * И SYSTEM.AUTO. * каналы отключены или что они используют SSL и / или выход для аутентификации входящего соединения.
Наконец, имейте в виду, что если WMQ настроен на прием идентификатора, предоставленного клиентом, то соединение имеет полный административный доступ, включая удаленное выполнение кода. Чтобы предотвратить это, вы должны настроить все входящие каналы (RCVR, RQSTR, CLUSRCVR и SVRCONN), которые не являются административными, с ID с низким уровнем привилегий в MCAUSER канала. Для любых каналов, предназначенных для администраторов, аутентифицируйте их с помощью SSL. (Надеемся, что ваше стороннее ПО является приложением, а не инструментом администрирования! Любой инструмент администрирования WMQ должен поддерживать SSL или не использовать его!)
Таким образом, во что бы то ни стало используйте stunnel для защиты этой ссылки, просто убедитесь, что остальная часть QMgr защищена или кто-либо, кто может законно подключиться (или даже анонимные удаленные пользователи, если вы оставите MCAUSER пустым и не используете SSL и / или выйдет) просто обойдёт безопасность или отключит её.
Есть копия презентации IMPACT Усиление безопасности WMQ на https://t -rob.net / links / , которая объясняет все это более подробно.