如何为Google Cloud Run服务修改TLS加密套件？

我正尝试为部署在Google Cloud Run上、通过Google Endpoints暴露API的服务限制TLS加密套件，这些Endpoints使用Envoy代理（ESPv2）。

配置尝试 #

根据官方文档的配置方法，我设置了ssl_server_cipher_suites参数（逗号分隔的套件列表），并在Dockerfile中添加了如下配置：

ENV ESPv2_ARGS ^++^--ssl_server_cipher_suites="ECDHE-ECDSA-AES128-GCM-SHA256,ECDHE-RSA-AES128-GCM-SHA256,ECDHE-ECDSA-AES256-GCM-SHA384,ECDHE-RSA-AES256-GCM-SHA384"++--enable_debug

部署后服务启动，日志显示参数已成功加载：

Starting Config Manager with args: ['bin/configmanager', '--logtostderr', '--rollout_strategy', 'fixed', '--backend_address', 'http://127.0.0.1:8082', '--v', '1', '--envoy_xff_num_trusted_hops', '0', '--listener_port', '8080', '--ssl_server_cipher_suites', 'ECDHE-ECDSA-AES128-GCM-SHA256,ECDHE-RSA-AES128-GCM-SHA256,ECDHE-ECDSA-AES256-GCM-SHA384,ECDHE-RSA-AES256-GCM-SHA384', '--service_json_path', '/etc/endpoints/service.json', '--compute_platform_override', 'Cloud Run(ESPv2)', '--suppress_envoy_headers=false']

验证结果 #

但使用nmap验证时，返回的加密套件并未变化：

$ nmap --script ssl-enum-ciphers -p 443 myapp.a.run.app
Starting Nmap 7.94 ( https://nmap.org ) at 2023-10-18 13:13 CEST
Nmap scan report for ...

PORT    STATE SERVICE
443/tcp open  https
| ssl-enum-ciphers:
|   TLSv1.2:
|     ciphers:
|       TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (ecdh_x25519) - A
|       TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (ecdh_x25519) - A
|       TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (ecdh_x25519) - A
|       TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
|       TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (ecdh_x25519) - A
|       TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (ecdh_x25519) - A
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (ecdh_x25519) - A
|       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 (ecdh_x25519) - A
|       TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 (ecdh_x25519) - A
|       TLS_RSA_WITH_AES_128_CBC_SHA (rsa 2048) - A
|       TLS_RSA_WITH_AES_128_GCM_SHA256 (rsa 2048) - A
|       TLS_RSA_WITH_AES_256_CBC_SHA (rsa 2048) - A
|       TLS_RSA_WITH_AES_256_GCM_SHA384 (rsa 2048) - A
|     compressors:
|       NULL
|     cipher preference: client
…

其中--enable-debug参数已生效（日志内容增多），但加密套件设置未生效。我还尝试通过--ssl_minimum_protocol="TLSv1.3"限制仅使用TLSv1.3，但nmap仍检测到TLSv1.2。

疑问 #

请问有什么解决思路？

内容的提问来源于stack exchange，提问作者Michal Sipek