ssl - 如何追踪 "Connection timout during SSL handshake"和 "Connection closed during ssl handshake"错误

Question

我最近从 AWS ELB 切换到 HAProxy。我正在负载均衡器 (HAProxy 1.5dev19) 上终止 SSL。

自切换以来，我不断在 HAProxy 日志中收到一些 SSL 连接错误(占请求总数的 5-10%)。重复出现三种类型的错误:SSL 握手期间连接关闭SSL 握手期间超时SSL 握手失败(这种情况很少发生)

我使用的是免费的 StartSSL 证书，所以我的第一个想法是某些主机在接受此证书时遇到问题，而我过去没有看到这些错误，因为 ELB 不提供日志记录。唯一的问题是一些主机最终确实成功连接。

我可以毫无错误地连接到服务器，所以我不确定如何在我这边复制这些错误。

Answer 1

这听起来像是在握手过程中离开的客户端(TCP RST 或超时)。这在某种程度上是正常的，但 5-10% 听起来太高了。有可能是证书问题；我不确定它究竟是如何呈现给

发生在我身上的事情:

• 如果谈判非常缓慢，您将会有更多的客户流失。
• 您可能有潜在的 TCP 问题，在您的新 SSL 端点代理开始报告这些问题之前您并没有意识到这些问题。

您是否见过有时成功有时失败的个别主机？如果是这样，这不太可能是证书问题。我不确定当用户拒绝不受信任的证书时连接是如何断开的。

您可以在 HAProxy 机器上使用 Wireshark 来捕获 SSL 握手并解析它们(您不需要解密 session 来进行握手分析，尽管您可以这样做，因为您拥有服务器私钥)。