Nginx/Apache SSL握手失败及ModSecurity拦截问题排查求助

1. Nginx SSL_do_handshake()失败的原因及与配置的关联 #

这个错误（error:14201044:SSL routines:tls_choose_sigalg:internal error）完全和SSL/TLS配置相关，常见触发原因包括：

• 加密套件配置冲突：服务器启用了自身OpenSSL版本不支持的签名算法，或者客户端与服务器的签名算法集合无交集，导致握手时无法协商出合适的算法。
• OpenSSL版本问题：使用的OpenSSL版本存在bug，或版本过旧不支持某些现代签名算法（比如ECDSA类算法）。
• 证书与加密套件不兼容：比如证书是ECDSA密钥类型，但服务器配置的加密套件仅允许RSA签名算法，反之亦然。
• SSL参数配置错误：强制启用了不安全/未支持的协议版本，或错误配置ssl_ecdh_curve等密钥交换相关参数。

2. 解决Apache证书与服务器名称不匹配的警告 #

针对AH01909警告，按以下步骤处理：

• 检查证书的SAN字段：执行命令openssl x509 -in /path/to/certificate.crt -text -noout，查看Subject Alternative Name部分，确认是否包含example.com和generic-server域名。若缺失，需重新申请包含这些域名的SSL证书（单域名证书换多域名/通配符证书）。
• 核对虚拟主机配置：确保443端口的虚拟主机中，ServerName和ServerAlias设置的域名与证书完全一致，示例配置：

  <VirtualHost *:443>
      ServerName example.com
      ServerAlias generic-server
      SSLCertificateFile /path/to/correct-cert.crt
      SSLCertificateKeyFile /path/to/correct-key.key
      # 其他配置项...
  </VirtualHost>
  

• 确认证书文件配置正确：避免将其他域名的证书错误配置到当前虚拟主机，确保SSLCertificateFile和SSLCertificateKeyFile指向对应域名的有效证书及密钥文件。

3. ModSecurity 403错误与SSL问题的关联 #

两者可能相关，也可能是独立问题，需结合日志细节判断：

• 关联场景：客户端SSL握手失败时发送异常请求（比如不完整的SSL数据包、不符合TLS规范的请求），可能触发ModSecurity的异常请求检测规则，导致403拦截。此时日志会标注与请求格式、协议合规性相关的规则ID。
• 独立场景：多数情况下，ModSecurity的403错误是因为请求违反防护规则（比如SQL注入尝试、XSS攻击、请求参数违规、爬虫行为触发拦截等），和SSL问题无关。可查看ModSecurity详细日志（如modsec_audit.log），找到拦截对应的msg和id字段，明确触发的具体规则，即可判断是否与SSL相关。

内容的提问来源于stack exchange，提问作者efficaciousEmu