如何使Boost：：ASIO SSL服务器同时接受TLS 1.1和TLS 1.2？

Question

我试图让我的SSL服务器同时支持TLS 1.1和TLS 1.2，而不支持早期版本。

这是我配置SSL上下文的方式：

// Here io is an instance of io_service
boost::asio::ssl::context ctx(io, boost::asio::ssl::context::tlsv12_server);

ctx.use_certificate_chain_file("./certs.pem");
ctx.use_private_key_file("./key.pem", ssl::context::pem);

SSL_CTX_set_cipher_list(ctx.native_handle(), "ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS");

ctx.set_options(boost::asio::ssl::context::default_workarounds
                | boost::asio::ssl::context::no_sslv2
                | boost::asio::ssl::context::no_sslv3
                | boost::asio::ssl::context::no_tlsv1
                | boost::asio::ssl::context::single_dh_use
                | SSL_OP_CIPHER_SERVER_PREFERENCE);

ctx.clear_options(boost::asio::ssl::context::no_tlsv1_1);

// Creating socket:
using ssl_socket = boost::asio::ssl::stream<boost::asio::ip::tcp::socket>;
auto sock = std::make_unique<ssl_socket>(io, ctx);

我甚至尝试清除NO_TLSV1_1选项，如果它是默认设置的。即使我将配置减少到：

ctx.use_certificate_chain_file("./certs.pem");
ctx.use_private_key_file("./key.pem", ssl::context::pem);

当尝试与TLS 1.1客户端连接时，Async_Handshake回调仍然会给出错误代码asio.ssl:336109835，错误的版本号。当与TLS1.2客户端连接时，一切都很好。

如果在构造SSL上下文时，我将第二个参数从TLSV12_Server更改为TLSV11_Server，那么TLS1.1工作正常，但TLS1.2不可用。

我已经尝试了Boost版本1.54和1.65.1以及openssl版本1.0.2g和1.0.2l，似乎所有这些版本都是如此。运行Linux Mint 18.2

我应该做什么来同时允许TLS 1.1和TLS 1.2？

Answer 1

我自己想办法弄明白了。在构造上下文时传入的方法TLSV12_Server不是支持的最大或最小版本，该方法是将使用的确切协议。

如果要使用多个协议，有一些特殊的方法，例如tls_server，它不指定版本，并启用TLS1.0、1.1和1.2。然后要禁用1.0，Boost::ASIO::SSL::Context::NO_TLSV1选项工作正常，只启用1.1和1.2。