Openssl 104, SSLv2’nin devre dışı bırakıldığı anlamına mı geliyor?

10

Sunucumda SSLv2'nin devre dışı bırakılıp bırakılmadığını kontrol etmek istiyorum. Bunu, shells ile uzaktan openssl ile bağlanmaya çalışarak yapıyorum.

openssl s_client -connect HOSTNAME:443 -ssl2

İnternette bulabildiğim çoğu literatür, aşağıdaki hataya benzer bir şey görürsem SSLv2'nin uygun şekilde devre dışı bırakıldığını söylüyor.

29638:error:1407F0E5:SSL routines:SSL2_WRITE:ssl handshake failure:s2_pkt.c:428:

Apache Apache'de SSLv2 devre dışı bırakılmış Ubuntu sunucuma Apache Apache'de bağlanırken yukarıdaki hatayı alıyorum ancak kayıt defterinde SSLv2 devre dışı bırakılmış Windows Server 2008 R2 sunucuma bağlandığımda aşağıdaki çıktıyı ve hatayı alıyorum.

CONNECTED(00000003)
write:errno=104

Bu çıktıyı ve hatayı açıklayan herhangi bir literatür bulamıyorum. Herhangi biri bana, bu çıkışın ve hatanın SSLv2'nin düzgün bir şekilde devre dışı bırakıldığı anlamına gelip gelmediğini açıklayabilirse, memnun olurum.

Teşekkürler!

ssl openssl

— David
kaynak

11

En azından Linux'ta, 104 ECONNRESET"Eş tarafından bağlantıyı sıfırla" içindir - başka bir deyişle, bağlantı, sunucu tarafından gönderilen ya da bir aracı tarafından dolandırılan bir TCP RST paketi ile zorla kapatılmıştır.

Gerçekten ne gönderildiğini görmek için Ubuntu sunucusundaki Wireshark / tshark'ı denerdim. Eğer RST gerçekse, httpd işlemi ölmüş olabilir - günlük dosyalarını kontrol edin ve dmesgsadece durumda.

Qualys SSL Sunucu Testi web sitesi web sunucusu tarafından desteklenen tüm SSL / TLS versiyonlarını gösterebilir. (Ne yazık ki, TLS SNI ile bile uğraşmıyor ...)

— grawity
kaynak

Bu yüzden, sunucu SSLV2 devre dışı bırakıldığında bir istemci SSLv2 ile bağlanmaya çalıştığında TCP RST paketinin Windows Server 2008 R2'den gönderilip gönderilmediğini merak ediyorum

— David

Güvenlik duvarınız genellikle RST paketini gönderen aracıdır. Ancak bu sorun değilse, bazen SSL3'ü bir -ssl3seçenekle zorlamak veya seçeneği kullanmak bunu aşabilir -servername.

— Amit Naidu

-2

Sunucunuz tarafından desteklenen şifreler ile alıcının sunucusu tarafından desteklenenler arasında bir uyuşmazlık olabilir.

— Tom
kaynak

2

Biri bunu nasıl doğrular? Biri onayladıktan sonra nasıl çözülür? Bu soruların cevaplarını şahsen biliyorum, ancak diğerleri bilmiyor olabilir, bu nedenle bu sorunun nedeninin nedeni bu olabilir.

— Ramhound

-2

Aynı hatayı vardı ve bu MTU arayüzü ile ilgili idi. MTU istemci arayüzünü 1492'ye (1500 idi) ayarlamak, bu hatayı benim için çözdü.

— Daniel Roque
kaynak

1

Bu, sorununuzu çözmüş olabilir, ancak sorununuzun SSL şifreleme uyumluluğu ve / veya yapılandırmasıyla hiçbir ilgisi yoktu. Bu cevap sorununuzu çözmüş olsa da, bu soru ile ilgisi olmadığı için yazarın sorunu için geçerli değildir.

— Ramhound