Stunnel не працюватиме з SSLv3 від деяких хостів

Попередження: SSLv3 застарілий . Подумайте, що це взагалі відключити .

Я намагаюся налаштувати Stunnel на сервер як кеш-пам'ять SSL. Все було гладко, і в основному це працює як задумано.

Потім у мене виникли помилки в файлах журналів:

 SSL_accept: 1408F10B: error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number

Не всі клієнти викликають це з якихось дивних причин. Підключення від CentOS за допомогою посилань - з’являється помилка (випробувано кілька машин). Підключення з Ubuntu за допомогою посилань - помилок немає.

Спробував за допомогою wget, і все згладжується з TLSv1, але помилка виявляється з SSLv3. У той же час, звіти про wget:

OpenSSL: error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure

Не вдається встановити з'єднання SSL.

Ось моя конфігурація:

pid = /etc/stunnel/stunnel.pid
debug = 3
output = /etc/stunnel/stunnel.log

socket=l:TCP_NODELAY=1
socket=r:TCP_NODELAY=1

verify=3    

; fixing "fingerprint does not match" error
fips=no

[https]
accept=12.34.56.78:443
connect=127.0.0.1:80
TIMEOUTclose=0
xforwardedfor=yes
CAfile = /path/to/ssl/example.com.cabundle
cert=/path/to/ssl/example.com.crt
key=/path/to/ssl/example.com.key

Хтось має уявлення про те, що відбувається тут? Гугл уже кілька годин, не можу цього зрозуміти.

Версія OpenSSL: OpenSSL 0.9.8e-fips-rhel5 01 липня 2008 року.

Версія для оглушення: 4.32

Редагувати:

Ось результат openssl s_client -connect example.com:443 -ssl3

CONNECTED(00000004)
3897:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1086:SSL alert number 40
3897:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:530:

Те саме з -tls1роботами нормально, без помилок.

Добре, проблема була вирішена ... Я додав це до конфігурації:

sslVersion = all
options = NO_SSLv2

Наскільки я розумію, помилка була пов’язана з SSLv23. Зараз все працює як очікувалося.

SSL3_GET_RECORD:wrong version numberє ключовим. Схоже, рись у ваших системах CentOS не використовує SSLv3.

Буде простіше перевірити точну поведінку за допомогою openssl s_client:

Перевірте, що відбувається з SSLv3:

openssl s_client -connect server:443 -ssl3

І лише з TLS:

openssl s_client -connect server:443 -tls1

Мені довелося встановити

options = -NO_SSLv3

щоб відключити Тепер по замовчуванням варіант NO_SSLv3. (Сервер, що підключається до не робить TLS)