ubuntu - CloudFlare 525 握手 SSL 在 ubuntu 更新后失败

Question

我在 DigitalOcean 有 2 台服务器。两者都有 2 个站点，通过 Cloudflare 设置了 SSL 和 DNS。它们都是相同的设置 (nginx)。

昨天升级其中一台服务器后，我在尝试访问这两个站点时开始出现错误，525 SSL 握手失败。而服务器上未更新的 2 个站点工作正常。

我使用 Ubuntu 14.04.5 LTS (GNU/Linux 3.13.0-57-generic x86_64)

以下是更新的包:

apt
apt-transport-https
apt-utils
bind9-host
dnsutils
isc-dhcp-client
isc-dhcp-common
libapt-inst1.5
libapt-pkg4.12
libbind9-90
libdbd-mysql-perl
libdns100
libisc95
libisccc90
libisccfg90
liblwres90
libpython3.4-minimal
libpython3.4-stdlib
libssl-dev
libssl-doc
libssl1.0.0
linux-libc-dev
ntp
ntpdate
openssl
php5-cli
php5-common
php5-curl
php5-fpm
php5-gd
php5-mysql
php5-readline
python3-update-manager
python3.4
python3.4-minimal
tzdata
update-manager-core

我一直在努力寻找其中之一如何破坏网站，但没有。看起来链接可能是 openssl 或 apt-transport-https。有人遇到过类似的问题吗？

Answer 1

尽管 Cloudflare 知识库有一些额外的 525 error debugging steps，但在您的场景中有两件主要的事情要检查。这可能对你有用。

情况可能是 cipher suites that Cloudflare accepts并且源服务器使用的密码套件不匹配。 Cloudflare 仅支持 TLS 1、1.1 和 1.2(TLS 1.3 处于测试阶段)；不支持旧版 SSLv3 或 SSLv2 协议(protocol)。 Cloudflare 还支持受限制的密码列表。确保您的 OpenSSL 版本支持 cipher suites that Cloudflare support .

同时确保如果 Cloudflare SSL 配置设置为“完整”，您的源服务器需要能够接受入站 SSL 连接，如果它设置为“完整(严格)”，您的网络服务器需要有签名证书或 Cloudflare Origin CA certificate安装在。只有在灵活 SSL 模式下，Cloudflare 才会终止 SSL 连接。

最好测试您的 SSL 配置，直接连接到您的源 Web 服务器以查看问题所在；使用 OpenSSL，您可以检查是否可以建立连接:

openssl s_client -connect [origin server IP]:443

然后您可以使用以下方法测试 TLSv1 支持:

openssl s_client -connect [origin server IP]:443 -tls1