Linux OpenSSL如何配置SSL/TLS协议版本

在Linux系统中，使用OpenSSL配置SSL/TLS协议版本可以通过编辑OpenSSL配置文件或直接在命令行中指定。以下是两种常见的方法：

方法一：编辑OpenSSL配置文件

1. 找到OpenSSL配置文件： 通常，OpenSSL的配置文件位于/etc/ssl/openssl.cnf或/etc/pki/tls/openssl.cnf。你可以使用以下命令查找：

   sudo find / -name openssl.cnf
   

2. 编辑配置文件： 使用你喜欢的文本编辑器（如nano、vim）打开配置文件：

   sudo nano /etc/ssl/openssl.cnf
   

3. 修改协议版本： 在配置文件中找到[ssl_section]或[system_default_sect]部分，添加或修改以下行来指定支持的SSL/TLS协议版本：

   [ssl_section]
   ssl_version = TLSv1.2 TLSv1.3
   

4. 保存并退出： 保存文件并退出编辑器。

方法二：在命令行中指定

如果你不想修改配置文件，也可以在运行OpenSSL命令时直接指定协议版本。例如：

• 生成自签名证书：

  openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes -ssl_version TLSv1.2
  

• 启动SSL服务器：

  openssl s_server -www -cert cert.pem -key key.pem -ssl_version TLSv1.2
  

• 启动SSL客户端：

  openssl s_client -connect example.com:443 -ssl_version TLSv1.2
  

注意事项

• 安全性：确保只启用必要的协议版本。例如，TLSv1.0和TLSv1.1已经被认为是不安全的，应该避免使用。
• 兼容性：确保你的客户端和服务器都支持你选择的协议版本。

通过以上方法，你可以灵活地配置OpenSSL以使用特定的SSL/TLS协议版本。