Início / server / Perguntas / 852960
Accepted
Isaac Palacio
Asked: 2017-05-31 00:02:57 +0800 CST

SSL_read() falhou (SSL: erro: 140943F2: rotinas SSL: SSL3_READ_BYTES: erro sslv3 no nginx

  • 772
2017/05/30 09:44:59 [debug] 3486#3486: *1221 free: 000055D2824FBC40, unused: 24
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL certificate status callback
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL_do_handshake: -1
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL_get_error: 2
2017/05/30 09:57:01 [debug] 3486#3486: *1223 reusable connection: 0
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL handshake handler: 0
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL_do_handshake: 1
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL: TLSv1.2, cipher: "ECDHE-RSA-AES256-GCM-SHA384 TLSv1.2 Kx=ECDH Au=RSA Enc=AESGCM(256) Mac=AEAD"
2017/05/30 09:57:01 [debug] 3486#3486: *1223 reusable connection: 1
2017/05/30 09:57:01 [debug] 3486#3486: *1223 http wait request handler
2017/05/30 09:57:01 [debug] 3486#3486: *1223 malloc: 000055D282587F80:1024
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL_read: -1
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL_get_error: 2
2017/05/30 09:57:01 [debug] 3486#3486: *1223 free: 000055D282587F80
2017/05/30 09:57:01 [debug] 3486#3486: *1223 http wait request handler
2017/05/30 09:57:01 [debug] 3486#3486: *1223 malloc: 000055D282587F80:1024
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL_read: 0
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL_get_error: 1
2017/05/30 09:57:01 [info] 3486#3486: *1223 SSL_read() failed (SSL: error:140943F2:SSL routines:SSL3_READ_BYTES:sslv3 alert unexpected message:SSL alert number 10) while waiting for request, client: 195.16.143.6, server: 0.0.0.0:443
2017/05/30 09:57:01 [debug] 3486#3486: *1223 close http connection: 38
2017/05/30 09:57:01 [debug] 3486#3486: *1223 SSL_shutdown: 1
2017/05/30 09:57:01 [debug] 3486#3486: *1223 event timer del: 38: 1496131081192
2017/05/30 09:57:01 [debug] 3486#3486: *1223 reusable connection: 0
2017/05/30 09:57:01 [debug] 3486#3486: *1223 free: 000055D282587F80
2017/05/30 09:57:01 [debug] 3486#3486: *1223 free: 000055D282508980, unused: 24

Não entendo esse erro quando no nginx tenho SSL3 habilitado, só acontece comigo com esse subdomínio. O resto dos subdomínios eu tenho o mesmo e eles funcionam.

Meu subdomain.conf:

ssl_certificate /etc/letsencrypt/live/musica.domain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/musica.domain.com/privkey.pem;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM$
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_stapling on;
ssl_stapling_verify on;

Erro do Chrome:

ERR_SSL_PROTOCOL_ERROR

Erro do Mozila:

Ocorreu um erro durante uma conexão com musica.domain.com. O SSL recebeu uma mensagem inesperada de handshake de novo ticket de sessão. Código de erro: SSL_ERROR_RX_UNEXPECTED_NEW_SESSION_TICKET

nginx

2 respostas

  1. Best Answer

    Encontre o problema quando houver vários subdomínios, a configuração SSL deve ser a mesma para todos. O que eu consegui colocando os parâmetros SSL em um arquivo diferente e incluindo no subdomain.conf, você vê que no subdomínio que eu falhei, copiei as cifras erradas e deu o problema, agora ao chamar todos os subdomínios do mesmo site A configuração do SSL ao invés de arquivo por arquivo, não era mais um erro pois a configuração é a mesma para todos.

    Este esboço me deu a pista:

    https://github.com/jwilder/nginx-proxy/issues/580#issuecomment-249587149

    se você tiver 2 configurações de servidor e tiver ssl_server_tokens definido como ativado em um, ele interromperá aquele em que está desativado em determinados navegadores

    Configurando o arquivo /etc/nginx/snippets/ssl-params.conf

    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

    ssl_prefer_server_ciphers ativado;

    ssl_dhparam /etc/ssl/certs/dhparam.pem;

    ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM- SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE- RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS- AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128- SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA :!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';

    ssl_session_timeout 1d;

    ssl_session_cache compartilhado:SSL:50m;

    ssl_grampeamento ativado;

    ssl_stapling_verify ativado;

    add_header Strict-Transport-Security max-age=15768000;

    • 1

  2. Seu arquivo de configuração de subdomínio nginx não habilita SSLv3; apenas TLSv1.0/1.1/1.2. Se o seu cliente (navegador) estiver tentando negociar apenas SSLv3, o que só deve acontecer com navegadores antigos, ou se o navegador ou sistema operacional estiver configurado apenas para usar SSLv3, ele falhará.

    Outra possibilidade, mais provável, é que seu conjunto de cifras não seja suportado pelo cliente. Se você relaxar as cifras, seu navegador da web se conecta?

    • 0

relate perguntas