如何跟踪“SSL握手期间的连接超时”和“SSL握手期间的连接关闭”错误

Question

我最近从AWS ELB转到HAProxy。我正在负载平衡器（HAProxy 1.5dev19）上终止SSL。

自从切换以来，我一直在HAProxy日志中遇到一些SSL连接错误（占请求总数的5-10%）。有三种类型的错误重复：SSL握手期间连接关闭SSL握手期间超时SSL握手失败（这种情况很少发生）

我使用的是免费的StartSSL证书，所以我的第一个想法是一些主机在接受该证书时遇到了问题，我过去没有看到这些错误，因为ELB不提供日志记录。唯一的问题是，某些主机最终确实有成功的连接。

我可以连接到服务器而没有任何错误，因此我不确定如何在我的端复制这些错误。

Answer 1

你的haproxssl前端是如何配置的？

例如，我使用以下方法来缓解BEAST攻击：bind X.X.X:443 ssl crt/etc/haproxy/ssl/XXXX。pem no-sslv3密码RC4-SHA:AES128-SHA:AES256-SHA

但有些客户端似乎会生成相同的“SSL握手失败”错误。我想这是因为配置太严格了。

Answer 2

我也有过这样的经历。首先出现了以下问题SSL握手失败，然后在关闭option dontlognull之后，我们在haproxy日志中还获得了SSL握手期间的超时。

首先，我确保所有的默认值超时都是正确的。

timeout connect 30s
timeout client  30s
timeout server  60s

不幸的是，问题出现在前端部分

有一行代码是timeout client 60，我认为它的意思是60ms，而不是60s。

似乎某些客户端连接缓慢，在SSL握手期间被踢出。检查您的前端是否有客户端超时。

Answer 3

这听起来像是握手（TCP RST或超时）中途离开的客户端。这在某种程度上是正常的，但是5-10%听起来太高了。这可能是证书问题；我不确定这到底是怎么回事

发生在我身上的事情：

• 如果谈判非常缓慢，你会有更多的客户离开。
• 您可能有潜在的TCP问题，直到您的新SSLendpoint代理开始报告这些问题，您才意识到这些问题。

你看到个别主持人有时成功，有时失败吗？如果是这样，这不太可能是证书问题。我不确定当用户拒绝不受信任的证书时，连接是如何被拆除的。

您可以在HAProxy机器上使用Wireshark捕获SSL握手并解析它们（您不需要解密会话进行握手分析，尽管您可以，因为您有服务器私钥）。