openssl - 如何管理错误 "OpenSSL v1.1.1 ssl_choose_client_version unsupported protocol"？

Question

关闭。这个问题不满足Stack Overflow guidelines .它目前不接受答案。












想改善这个问题吗？更新问题，使其成为 on-topic对于堆栈溢出。

2年前关闭。




Improve this question




尝试通过 openvpn 连接到 VPN 时我从 openssl 收到以下错误

Tue Oct 30 11:34:16 2018 WARNING: --ns-cert-type is DEPRECATED.  Use --remote-cert-tls instead.
... several more lines
Tue Oct 30 11:34:17 2018 OpenSSL: error:1425F102:SSL routines:ssl_choose_client_version:unsupported protocol
Tue Oct 30 11:34:17 2018 TLS_ERROR: BIO read tls_read_plaintext error
Tue Oct 30 11:34:17 2018 TLS Error: TLS object -> incoming plaintext read error
Tue Oct 30 11:34:17 2018 TLS Error: TLS handshake failed
Tue Oct 30 11:34:17 2018 SIGUSR1[soft,tls-error] received, process restarting
Tue Oct 30 11:34:17 2018 Restart pause, 5 second(s)

使用 OpenSSL 1.1.0h 时不会出现此错误。

为什么升级openssl后会出现这个错误图书馆？

我如何解决这个反复出现的问题？

有没有办法通过向 openvpn 提供一些标志来完成这项工作CLI 而不是降级 openssl ?

操作系统:Debian Sid

Answer 1

您不必降级 OpenSSL。

随着在 Debian 中引入 openssl 版本 1.1.1，默认情况下默认设置为更安全的值。这是在/etc/ssl/openssl.cnf 配置文件中完成的。文件末尾有:

[system_default_sect]
MinProtocol = TLSv1.2
CipherString = DEFAULT@SECLEVEL=2

Debian 现在至少需要 TLS 1.2 版本而不是 TLS 1.0。如果对方不支持 TLS 1.2 或更高版本，您将收到一些连接错误。

我建议将服务器上的 openvpn 升级到支持 TLS 1.2 的较新版本。 .

第二个选项(不太安全)是将 MinProcotol 修改为 TLSv1 或 TLSv1.1。