AWS EC2上TLS连接失败：错误码30592 MBEDTLS_ERR_SSL_FATAL_ALERT_MESSAGE

核心问题定位 #

你的问题核心是旧版本MicroPython（v1.19.1）的mbedtls库与AWS EC2的TLS配置不兼容，导致握手失败。本地自签证书能正常连接，说明设备本身的WSS逻辑没问题，问题集中在AWS端的TLS/SSL配置或路由环节。

针对性排查与解决步骤 #

1. 验证并调整TLS版本兼容性 #

• 原因：AWS目前默认要求TLS 1.2及以上，而MicroPython v1.19.1的ussl模块默认可能使用TLS 1.0/1.1发起握手，直接被AWS端拒绝，触发致命警报。
• 排查方法：
  在本地终端执行以下命令，测试EC2实例是否支持TLS 1.0/1.1：

  # 测试TLS 1.0
  openssl s_client -connect your-ec2-domain:443 -tls1
  # 测试TLS 1.1
  openssl s_client -connect your-ec2-domain:443 -tls1_1
  

  如果命令返回握手失败，说明EC2端未启用低版本TLS支持。
• 解决方法：
  在EC2的Web服务器配置（如Nginx、Apache）中添加对TLS 1.0/1.1的支持，同时配置兼容旧mbedtls的加密套件（如AES128-SHA、AES256-SHA）。示例Nginx配置片段：

  ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  ssl_ciphers AES128-SHA:AES256-SHA:ECDHE-ECDSA-AES128-SHA;
  

  注意：启用低版本TLS存在安全风险，仅作为临时兼容方案，后续建议逐步替换设备固件。

2. 检查AWS端证书链完整性 #

• 原因：旧mbedtls库对不完整的SSL证书链处理能力弱，AWS端如果仅部署了叶子证书（未包含中间证书），会导致设备端验证失败。
• 排查方法：
  执行命令查看EC2的证书链：

  openssl s_client -connect your-ec2-domain:443 -showcerts
  

  检查输出中是否包含完整的证书层级（根证书→中间证书→叶子证书）。
• 解决方法：
  在Web服务器配置中部署完整的证书链文件（将中间证书与叶子证书合并为一个文件），确保设备端能完成证书信任链验证。

3. 设备端代码优化（尝试强制TLS 1.2） #

• 虽然设备无法升级MicroPython，但可以尝试在ussl.wrap_socket中显式指定TLS 1.2版本，部分v1.19.1版本的ussl模块已支持该参数：

  sock = ussl.wrap_socket(sock, server_hostname=uri.hostname, ssl_version=ussl.PROTOCOL_TLSv1_2)
  

  如果运行报错（提示未定义该常量），则说明该版本不支持，需回到EC2端调整配置。

4. 排查AWS路由与负载均衡配置（若使用） #

• 如果EC2实例前端配置了ELB（弹性负载均衡）：
  • 检查ELB的安全策略，确保其允许TLS 1.0/1.1及兼容的加密套件（经典ELB可直接配置，ALB需选择包含低版本TLS的旧安全策略）。
  • 确认ELB的监听端口（443）已正确转发至EC2的对应端口。
• 检查EC2的安全组和NACL，确保入站/出站的443端口已开放（浏览器能连接则大概率已开放，但需确认无其他限制）。

内容的提问来源于stack exchange，提问作者php_nub_qq