SSL 配置体检：弱套件清理

SSL 证书到期了会有人换，协议和加密套件的配置却常年没人动，弱项就是这么一年年攒下来的。这篇按步骤把配置体检一遍，清掉该禁用的旧协议和弱算法。 准备条件 一台可 SSH 的服务器，域名解析已生效，openssl 与 nmap 已安装（yum install openssl nmap 或 apt install openssl nmap）。改配置会重载 Web 服务，动手前确认有维护窗口。先把危害说透：过时协议的加密强度抵不住如今的算力，已被证明存在降级攻击的协议留在配置里就是入口，各类评分给的低分大多扣在这两项上。 第一步：摸清现状 用 nmap 列出当前启用的协议与套件： nmap --script ssl-enum-ciphers -p 443 yourdomain.com 输出按 TLSv1.0、TLSv1.1、TLSv1.2 分组列出，重点看两类问题：已淘汰的旧协议还在服务，以及标注弱位的算法（3DES、RC4、导出级套件）还在线。如果 TLSv1.0 和 TLSv1.1 还出现在列表里，说明这套配置多年没动过，两者在主流浏览器里都已被标记为不安全。 第二步：收紧配置 以 Nginx 为例，编辑站点的 server 块： ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers HIGH:!aNULL:!MD5:!3DES; ssl_prefer_server_ciphers on; 改完先跑 nginx -t 校验语法，通过后 systemctl reload nginx 生效。Apache 对应改 SSLProtocol 与 SSLCipherSuite 两行，思路相同。第三行的作用是握手算法由服务端拍板，避免客户端挑中弱项；套件串不必堆得太长，越复杂越难维护。 第三步：复测验证 重跑第一步的 nmap 命令，TLSv1.0 与 TLSv1.1 应不再出现，弱套件清单清空；再用 openssl s_client -connect yourdomain.com:443 -tls1_1 验证旧协议握手，应直接失败；顺手确认证书链完整，verify return code 为 0 (ok) 才算干净。验证时把整条证书链看一遍，缺中间证书时部分客户端会报错，服务端自己却毫无察觉。 常见报错与处理 收紧后个别老设备连不上，多是它只支持旧协议所致：面向公众的业务优先保安全，内部确需对接的老设备单独开受限端口处理。证书报错多为漏配中间证书，把证书签发方提供的完整链文件按顺序配齐即可。 SSL 配置体检建议每季度做一次。主流浏览器与扫描工具的判定标准年年收紧，配置不动，评分就在后退。