TLS版本不匹配（？）

Question

假设我的客户支持TLS V1。0,1.1和1.2。远程站点支持TLS V1。0和1.1。双方都支持相同的密码。

我的问题是：

1-据我所知，我将始终使用我现有的最高TLS版本启动通信。在这种情况下，我将如何与另一边联系？

2-以下是客户端和服务器之间的Wireshark客户端HELLO捕获，如上所述。

TLSv1.1 Record Layer: Handshake Protocol: Client Hello
    Content Type: Handshake (22)
    Version: TLS 1.2 (0x0303)
    Length: 172
    Handshake Protocol: Client Hello
        Handshake Type: Client Hello (1)
        Length: 168
        Version: TLS 1.2 (0x0303)
        Random
        Session ID Length: 0
        Cipher Suites Length: 52
        Cipher Suites (26 suites)
        Compression Methods Length: 1
        Compression Methods (1 method)
        Extensions Length: 75
        Extension: server_name
        Extension: elliptic_curves
        Extension: ec_point_formats
        Extension: signature_algorithms
        Extension: SessionTicket TLS
        Extension: renegotiation_info

这种连接尝试最终导致“无法创建SSL/TLS安全通道”。我怀疑这与“TLSV1.1记录层”和“版本：TLS1.2（0x0303）”有关。这可能是连接失败的原因吗？

Answer 1

有两个TLS版本随客户端Hello消息一起发送。第一个是记录层版本，它描述了用于通信的TLS版本。第二个版本是客户端Hello值，它表示客户端支持的最大版本。

我在您的Wireshark捕获中看到了三个TLS版本。不过，我认为“TLSv1.1记录层：握手协议：客户端你好”中对1.1版的引用是错误的。

您的客户机似乎正在发送一个客户机Hello，其中记录层版本1.2中显示了版本1.2。服务器不支持1.2版，因此在记录层拒绝。为了解决这个问题，客户机可以在1.0版记录中发送1.2版客户机Hello。这将允许服务器使用支持1.1版本的1.0版本进行通信，后续通信将使用1.1版本。

Answer 2

假设您有一个旧版本的Wireshark，因为它报告了TLSv1。1，但在随后的数据包中，记录和ClientHello都清楚地指示TLSv1。2.保存捕获，升级Wireshark，然后重新加载捕获。

更新：确保SSL\TLS握手完成非常重要；否则，出于某种原因，Wireshark会在“协议”字段中报告错误的TLS协议版本。

Answer 3

客户端开始与ClientHello握手，其中显示它支持的最佳版本，即本例中的TLS 1.2。然后服务器回复ServerHello，其中包含服务器支持的最佳版本，该版本等于或小于客户端提供的版本（即您的情况下的TLS 1.1）。如果客户端不愿意接受此版本（即客户端配置为仅支持TLS 1.2且不低于此版本），它将关闭连接。