OpenSSL TLS 1.3握手无法切换密码套件的问题求助

核心概念纠正 #

你提到用openssl s_client指定TLS 1.2密码套件连接，但实际使用的是TLS 1.3的TLS_AES_256_GCM_SHA384——这是因为你混淆了TLS版本与对应套件的关系：

• TLS_AES_128_GCM_SHA256、TLS_AES_256_GCM_SHA384等是TLS 1.3专属密码套件，TLS 1.2根本不支持这类命名的套件；
• TLS 1.2的套件命名格式是ECDHE-RSA-AES128-GCM-SHA256这类，和TLS 1.3完全不兼容。

你遇到的现象本质是：客户端试图指定TLS 1.2套件，但服务器只支持（或优先协商）TLS 1.3，所以最终用了TLS 1.3的套件，且因为服务器端优先级配置，默认选了TLS_AES_256_GCM_SHA384。

分步排查与解决 #

1. 确认服务器的TLS版本配置

检查你的本地服务器代码，确认：

• 是否同时开启了TLS 1.2和TLS 1.3？如果只开启了TLS 1.3，客户端无法协商TLS 1.2，自然只会用TLS 1.3套件；
• 如果要测试TLS 1.3的不同套件，确保服务器已启用所有你列出的TLS 1.3套件。

2. 正确使用OpenSSL命令测试TLS 1.3套件

OpenSSL对TLS 1.3套件的指定参数有版本差异：

• OpenSSL 1.1.1及以上版本：必须用-ciphersuites参数指定TLS 1.3套件，-cipher仅用于TLS 1.2及以下；
• 强制协商TLS 1.3并指定单一套件的命令示例：

  # 测试TLS_AES_128_GCM_SHA256
  openssl s_client -connect localhost:你的端口 -tls1_3 -ciphersuites TLS_AES_128_GCM_SHA256
  
  # 测试TLS_CHACHA20_POLY1305_SHA256
  openssl s_client -connect localhost:你的端口 -tls1_3 -ciphersuites TLS_CHACHA20_POLY1305_SHA256
  

• 如果用旧版本OpenSSL（低于1.1.1），本身不支持TLS 1.3，需先升级版本。

3. 检查服务器端的TLS 1.3套件优先级

TLS 1.3的套件协商逻辑是：客户端列出支持的套件列表，服务器从该列表中选择自身支持且优先级最高的套件。

• 如果你的服务器代码将TLS_AES_256_GCM_SHA384设为最高优先级，即使客户端列出多个套件，服务器也会优先选它；
• 若要强制服务器选择特定套件，需在客户端命令中只指定该单个套件，让服务器没有其他可选项。

4. 验证OpenSSL对目标套件的支持

部分TLS 1.3套件（如TLS_AES_128_CCM_SHA256、TLS_AES_128_CCM_8_SHA256）可能需要OpenSSL启用特定编译选项，可通过以下命令检查本地OpenSSL支持的TLS 1.3套件：

openssl ciphers -v -s -tls1_3

如果输出中没有你要测试的套件，说明当前OpenSSL版本不支持，需重新编译或升级。

内容的提问来源于stack exchange，提问作者Riky