如何管理错误“OpenSSL v1.1.1 ssl_choose_client_version 不受支持的协议”？ [关闭]答案

【问题标题】：How do I manage the error "OpenSSL v1.1.1 ssl_choose_client_version unsupported protocol"? [closed]如何管理错误“OpenSSL v1.1.1 ssl_choose_client_version 不受支持的协议”？ [关闭]
【发布时间】：2019-04-03 03:27:34
【问题描述】：

在尝试通过 openvpn 连接到 VPN 时，我从 openssl 收到以下错误

Tue Oct 30 11:34:16 2018 WARNING: --ns-cert-type is DEPRECATED.  Use --remote-cert-tls instead.
... several more lines
Tue Oct 30 11:34:17 2018 OpenSSL: error:1425F102:SSL routines:ssl_choose_client_version:unsupported protocol
Tue Oct 30 11:34:17 2018 TLS_ERROR: BIO read tls_read_plaintext error
Tue Oct 30 11:34:17 2018 TLS Error: TLS object -> incoming plaintext read error
Tue Oct 30 11:34:17 2018 TLS Error: TLS handshake failed
Tue Oct 30 11:34:17 2018 SIGUSR1[soft,tls-error] received, process restarting
Tue Oct 30 11:34:17 2018 Restart pause, 5 second(s)

使用 OpenSSL 1.1.0h 时不会出现此错误。

为什么升级 openssl 库后会出现此错误？
如何解决这个反复出现的问题？
有没有办法通过向openvpn CLI 提供一些标志而不是降级openssl 来完成这项工作？

操作系统：Debian Sid

【问题讨论】：

标签： openssl openvpn

【解决方案1】：

您不必降级 OpenSSL。

随着在 Debian 中引入 openssl 版本 1.1.1，默认设置为更安全的值。这是在 /etc/ssl/openssl.cnf 配置文件中完成的。文件末尾有：

[system_default_sect]
MinProtocol = TLSv1.2
CipherString = DEFAULT@SECLEVEL=2

Debian 现在至少需要 TLS 1.2 版本而不是 TLS 1.0。如果对方不支持 TLS 1.2 或更高版本，则会出现一些连接错误。

我建议将服务器上的 openvpn 升级到支持 TLS 1.2 的新版本。。

第二个选项（不太安全）是将 MinProcotol 修改为 TLSv1 或 TLSv1.1。

【讨论】：

太棒了。我不得不使用TLSv1。很遗憾地说，我们研究所的服务器运行顶级硬件和非常可耻的过时软件。 :( 他们的设置使得他们无法更新到 openvpn。我会尝试再次与他们交谈，但机会非常少。
如果有人在使用 nodemailer 时遇到此错误，请尝试仅使用 node v10 而不更改任何 ssl 或 tls 配置

【解决方案2】：

您不必降级 OpenSSL或更改系统默认值。

无需修改 /etc/ssl/openssl.cnf，您只需配置 openvpn 客户端使用不同的最低协议版本配置 libssl。选项在配置文件中是--tls-version-min 或tls-version-min。

最好还是升级服务器，但这是处理临时版本偏差的更好方法。

【讨论】：

这应该是公认的答案，它比公认的解决方案的侵入性要小得多。
我体验过配置文件中的 tls-version-min 会被 openvpn 1.1.1d 忽略。
@JensMunk 同样的问题。有关它的更多信息：bugs.debian.org/cgi-bin/bugreport.cgi?bug=933177

【解决方案3】：

您甚至可以直接覆盖系统默认值，例如通过使用：

tls-cipher "DEFAULT:@SECLEVEL=1"

拥有与普通 OpenSSL 默认值匹配的基本配置。请注意，OpenVPN 通常会设置一个更受限制的密码列表（参见手册页）。

【讨论】：