Xử lý sự cố2026-08-15•4 phút đọc

Không khớp phiên bản TLS và bộ mã hóa: lỗi thương lượng

· Đội ngũ CSR.plus

•Bắt tay thất bại với "no shared cipher" hoặc lỗi phiên bản nghĩa là hai bên không chia sẻ bất kỳ tùy chọn TLS tương thích nào.
•Đối chiếu phiên bản và bộ mã hóa máy chủ đang bật với những gì máy khách hỗ trợ.
•Bật tổ hợp hiện đại rộng rãi: TLS 1.2 + 1.3 với bộ ECDHE AES-GCM tiêu chuẩn.

No shared cipher

Thông báo điển hình

đầu ra openssl s_client

TLS 1.2

Tối thiểu hiện đại

bật 1.2 + 1.3

ECDHE

Trao đổi khóa

với P-256 hoặc X25519

TLS 1.0/1.1

Máy khách cũ

đã ngừng ở mọi nơi

"no shared cipher" nghĩa là gì

Trong thương lượng, máy khách gửi các bộ mã hóa hỗ trợ; máy chủ chọn bộ mà nó cũng hỗ trợ. Nếu giao bằng rỗng, OpenSSL báo "no protocols available" hoặc "no shared cipher". Trong trình duyệt, nguyên nhân tương tự hiện là ERR_SSL_VERSION_OR_CIPHER_MISMATCH. Máy khách cũ + máy chủ chỉ bật TLS 1.3 và bộ hiện đại là tác nhân kinh điển.

Đọc đầu ra openssl

openssl s_client -connect host:443 -servername host in "Protocol : TLSv1.3" và "Cipher : TLS_AES_256_GCM_SHA384" khi thành công. Khi lỗi: "no protocols available" (khoảng cách phiên bản) hoặc "no shared cipher". Dùng openssl ciphers -v để liệt kê bộ của bản dựng và s_client -tls1_2 / -tls1_3 để thử từng phiên bản riêng.

Cấu hình máy chủ đúng

Bật TLS 1.2 và 1.3, tắt mọi phiên bản thấp hơn. Giữ bộ hiện đại chuẩn: TLS_AES_256_GCM_SHA384 và TLS_AES_128_GCM_SHA256 cho 1.3; ECDHE-ECDSA/ECDHE-RSA với AES-256-GCM và AES-128-GCM cho 1.2. Chỉ thêm bộ cũ nếu thực sự hỗ trợ máy khách cũ và ghi lại sự đánh đổi.

FAQ

Thiết bị cũ có cần TLS 1.0/1.1 không?

Mọi trình duyệt và hệ điều hành lớn đã tắt TLS 1.0/1.1. Hỗ trợ chúng cho thiết bị nhúng cũ là quyết định tương thích — nếu cần, hãy cô lập các máy khách đó trên vhost riêng.