WebSocket连接远程服务器报错‘SSL alert number 40’求助

SSL alert number 40对应TLS握手失败（handshake_failure），结合你的场景（Python客户端正常、本地WSS连接正常），问题大概率出在客户端与render.com服务器的TLS握手参数不匹配，以下是具体排查方向：

1. 检查TLS版本兼容性 #

render.com这类云平台通常只支持TLS 1.2及以上版本，旧版TLS（1.0/1.1）会被服务器禁用。Python的WebSocket客户端默认会协商使用最新兼容的TLS版本，但cwebsocket可能默认启用了旧版本：

• 查看cwebsocket代码中是否设置了TLS版本范围，确保强制使用TLS 1.2或1.3：

  // 适配cwebsocket的SSL上下文配置示例（基于OpenSSL）
  SSL_CTX_set_min_proto_version(ctx, TLS1_2_VERSION);
  SSL_CTX_set_max_proto_version(ctx, TLS1_3_VERSION);
  

2. 确认SNI（Server Name Indication）是否配置 #

render.com是多租户平台，服务器依赖SNI字段识别目标域名。Python客户端会自动添加SNI，但很多C语言SSL库（如OpenSSL）默认不启用：

• 检查cwebsocket的SSL握手逻辑，是否调用了SSL_set_tlsext_host_name函数传入服务器域名：

  SSL_set_tlsext_host_name(ssl, "web-socket-xxx.onrender.com");
  

3. 验证加密套件匹配性 #

render.com服务器仅支持现代加密套件，若cwebsocket默认的加密套件列表无服务器兼容项，会触发握手失败：

• 先用OpenSSL命令查看服务器支持的加密套件：

  openssl s_client -connect web-socket-xxx.onrender.com:443 -tls1_2
  

• 在输出中找到Cipher Suite字段，然后在cwebsocket中配置对应的加密套件字符串，例如：

  SSL_CTX_set_cipher_list(ctx, "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256");
  

4. 检查证书验证配置 #

虽然Python能正常连接，但cwebsocket可能未正确加载系统根证书，导致证书链验证失败（部分场景下也会触发alert 40）：

• 确保cwebsocket配置了根证书路径，例如树莓派的默认根证书路径为/etc/ssl/certs/ca-certificates.crt：

  SSL_CTX_load_verify_locations(ctx, "/etc/ssl/certs/ca-certificates.crt", NULL);
  

• 测试时可临时禁用证书验证（仅用于排查，生产环境禁止），确认是否是证书问题：

  SSL_CTX_set_verify(ctx, SSL_VERIFY_NONE, NULL);
  

5. 更新cwebsocket库版本 #

旧版本的cwebsocket可能存在TLS握手相关的bug，尝试拉取最新代码重新编译，看是否解决问题。

内容的提问来源于stack exchange，提问作者Ravi