使用Cloudflare Zero Trust部署自托管GitLab时遇SSL_ERROR_NO_CYPHER_OVERLAP及证书覆盖问题求助

看起来你遇到的问题其实是Cloudflare Zero Trust和GitLab的SSL配置衔接出了问题，教程里没提细节很正常，毕竟这类配置容易有环境差异。我帮你梳理下几个关键排查点和解决办法：

• 先解决DNS记录的证书提示问题
  Cloudflare提示“This hostname is not covered by a certificate”，核心原因通常有两个：

  • 你的域名刚添加到Cloudflare，自动签发的证书还在处理中，等个10-15分钟再刷新试试；
  • DNS记录的云朵图标是灰色的（未开启Cloudflare代理），Cloudflare只会给代理模式下的记录提供证书，把云朵改成橙色开启代理即可。另外去Cloudflare的「SSL/TLS」设置里，确认SSL模式已经开启（哪怕先设为Flexible）。

• 针对SSL_ERROR_NO_CYPHER_OVERLAP的核心修复
  这个错误本质是浏览器、Cloudflare、GitLab三者之间没有共同支持的加密套件，大概率是SSL模式和GitLab Ingress的HTTP/HTTPS配置不匹配：

  • 如果严格跟着教程用HTTP Ingress，那Cloudflare的SSL模式必须设为Flexible（这种模式下，Cloudflare和用户之间是HTTPS，Cloudflare到你的GitLab是HTTP，刚好匹配你的Ingress配置）；
  • 如果你想改用更安全的Full/Strict模式，那GitLab的Ingress必须配置HTTPS证书（Let's Encrypt的证书是可行的，但要确保证书已经正确部署：比如用Omnibus的话要在gitlab.rb里配置nginx['ssl_certificate']和nginx['ssl_certificate_key']指向证书文件；用K8s Ingress的话要配置tls字段关联证书Secret）；
  • 另外去Cloudflare的「SSL/TLS > Edge Certificates」里，开启「Always Use HTTPS」的同时，把「加密套件」设为Cloudflare推荐的默认配置，不要用自定义套件，避免和GitLab的套件不兼容。

• 排查GitLab的Ingress/NGINX配置

  • 如果你用GitLab Omnibus，检查gitlab.rb里的nginx['listen_https']：如果Cloudflare用Flexible模式，这个可以设为false；如果用Full模式，必须设为true并配置好证书路径；
  • 如果是Kubernetes部署的GitLab，检查Ingress资源是否只配置了80端口的HTTP规则，要是配合Cloudflare Full模式，得添加443端口的HTTPS规则并关联tls证书。

• 最后排除缓存干扰
  有时候浏览器缓存了旧的SSL会话信息也会导致这个错误，试试用隐私窗口访问，或者清除浏览器的SSL缓存，甚至换个设备测试，排除缓存影响。

你可以按这个顺序一步步排查，大概率是SSL模式和Ingress的HTTP/HTTPS配置不匹配导致的。如果还是卡壳，可以把Cloudflare的SSL模式设置、GitLab的具体配置片段贴出来，我再帮你细化分析。

备注：内容来源于stack exchange，提问作者hmmmwhatgoingonhere