F5 负载均衡器拒绝 SHA256 加密算法密码套件？答案

【问题标题】：F5 load balancer rejects a SHA256 encryption algorithm cipher suite?F5 负载均衡器拒绝 SHA256 加密算法密码套件？
【发布时间】：2018-12-24 16:05:58
【问题描述】：

我正在调查两个端点通过 TLSv1.2 进行通信的问题，目标是 F5 负载平衡器。在客户端服务器握手期间，客户端发送了一组密码套件，F5 服务器从中选择了以下密码来启动通信：

Cipher Suite: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (0xc028)

客户端第二次发起握手时，F5 拒绝了密码套件，在检查密码套件时，他们没有 SHA384 密码：

Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 (0xc023)
Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027)
Cipher Suite: TLS_RSA_WITH_AES_128_CBC_SHA256 (0x003c)
Cipher Suite: TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256 (0xc025)
Cipher Suite: TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256 (0xc029)
Cipher Suite: TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 (0x0067)
Cipher Suite: TLS_DHE_DSS_WITH_AES_128_CBC_SHA256 (0x0040)
Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009)
Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)
Cipher Suite: TLS_RSA_WITH_AES_128_CBC_SHA (0x002f)
Cipher Suite: TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA (0xc004)
Cipher Suite: TLS_ECDH_RSA_WITH_AES_128_CBC_SHA (0xc00e)
Cipher Suite: TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x0033)
Cipher Suite: TLS_DHE_DSS_WITH_AES_128_CBC_SHA (0x0032)
Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02b)
Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)
Cipher Suite: TLS_RSA_WITH_AES_128_GCM_SHA256 (0x009c)
Cipher Suite: TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02d)
Cipher Suite: TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256 (0xc031)
Cipher Suite: TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (0x009e)
Cipher Suite: TLS_DHE_DSS_WITH_AES_128_GCM_SHA256 (0x00a2)
Cipher Suite: TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc008)
Cipher Suite: TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (0xc012)
Cipher Suite: TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a)
Cipher Suite: TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc003)
Cipher Suite: TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA (0xc00d)
Cipher Suite: TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA (0x0016)
Cipher Suite: TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA (0x0013)
Cipher Suite: TLS_EMPTY_RENEGOTIATION_INFO_SCSV (0x00ff)

我是 F5 负载平衡器的新手，想了解为什么 F5 不选择任何 SHA256 加密密码套件。这是在哪里指定的？

【问题讨论】：

标签： security ssl tls1.2 sha f5

【解决方案1】：

初学者可以按照以下步骤操作：

检查您的 F5 BIG-IP 版本，然后阅读 K13163 以了解此版本支持哪些密码套件（如果您的版本不在本文档中，请点击链接）。这对于了解您的客户端和服务器是否有机会成功握手是必要的。
转到K8802 并点击链接为您的 F5 BIG-IP 版本配置 SSL 配置文件的密码强度。这将回答您的问题，在哪里指定。
如果您仍然无法获得正确的设置，您需要阅读 K15292 以了解如何调试您的握手问题（需要一些 SSL 知识）。

【讨论】：

感谢资源分享！这很有帮助。

【解决方案2】：

我通过使用以下命令从为该配置文件配置的密码字符串中列出支持的密码来解决这个问题

openssl 密码 Cipher_string

并且收到的密码套件没有一个符合 BIGIP 配置接受的密码套件。

【讨论】：