Stunnel sẽ không hoạt động với SSLv3 từ một số máy chủ

CẢNH BÁO: SSLv3 đã lỗi thời . Xem xét vô hiệu hóa nó hoàn toàn .

Tôi đang cố gắng thiết lập Stunnel đến máy chủ dưới dạng bộ đệm SSL. Mọi thứ đều trơn tru, và chủ yếu là nó hoạt động như thiết kế.

Sau đó, tôi gặp lỗi trong tệp nhật ký:

 SSL_accept: 1408F10B: error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number

Không phải tất cả khách hàng kích hoạt điều đó, vì một số lý do kỳ lạ. Kết nối từ CentOS bằng liên kết - lỗi hiển thị (đã thử nhiều máy). Kết nối từ Ubuntu bằng liên kết - không có lỗi.

Đã thử sử dụng wget và tất cả đều trơn tru với TLSv1, nhưng lỗi xuất hiện với SSLv3. Đồng thời, báo cáo wget:

OpenSSL: error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure

Không thể thiết lập kết nối SSL.

Đây là cấu hình của tôi:

pid = /etc/stunnel/stunnel.pid
debug = 3
output = /etc/stunnel/stunnel.log

socket=l:TCP_NODELAY=1
socket=r:TCP_NODELAY=1

verify=3    

; fixing "fingerprint does not match" error
fips=no

[https]
accept=12.34.56.78:443
connect=127.0.0.1:80
TIMEOUTclose=0
xforwardedfor=yes
CAfile = /path/to/ssl/example.com.cabundle
cert=/path/to/ssl/example.com.crt
key=/path/to/ssl/example.com.key

Bất cứ ai cũng có cái nhìn sâu sắc như những gì đang xảy ra ở đây? Googled trong nhiều giờ, không thể tìm ra nó.

Phiên bản OpenSSL: OpenSSL 0.9.8e-fips-rhel5 01 tháng 7 năm 2008.

Phiên bản choáng: 4.32

BIÊN TẬP:

Đây là một đầu ra của openssl s_client -connect example.com:443 -ssl3

CONNECTED(00000004)
3897:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1086:SSL alert number 40
3897:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:530:

Tương tự với -tls1hoạt động OK, không có bất kỳ lỗi nào.

Ok, vấn đề đã được giải quyết ... Tôi đã thêm nó vào cấu hình:

sslVersion = all
options = NO_SSLv2

Theo tôi hiểu, lỗi liên quan đến SSLv23. Bây giờ tất cả các công trình như mong đợi.

SSL3_GET_RECORD:wrong version numberlà chìa khóa Có vẻ như lynx trên các hệ thống CentOS của bạn không sử dụng SSLv3.

Sẽ dễ dàng hơn để kiểm tra hành vi chính xác với openssl s_client:

Kiểm tra những gì xảy ra chỉ với SSLv3:

openssl s_client -connect server:443 -ssl3

Và chỉ với TLS:

openssl s_client -connect server:443 -tls1

Tôi phải đặt

options = -NO_SSLv3

để hủy kích hoạt tùy chọn mặc định bây giờ của NO_SSLv3. (Máy chủ kết nối không làm TLS)