迁移至Cloudflare后Mac OS Yosemite v10.10.5出现522错误及SSL证书问题求助

核心原因 #

Mac OS Yosemite 10.10.5的系统SSL组件（Secure Transport）版本过旧，存在两个关键兼容性问题：

• 不支持Cloudflare默认启用的部分现代TLS加密套件和TLS 1.2+的严格配置
• 默认不信任Let's Encrypt ISRG Root X1等新型根证书，导致SSL证书验证失败
  这两个问题共同引发了522连接超时（SSL握手失败导致连接中断）和证书报错。

解决步骤 #

1. 调整Cloudflare SSL/TLS配置

• 降低TLS版本要求：进入Cloudflare控制台 → SSL/TLS → 边缘证书 → 在「TLS版本支持」中勾选TLS 1.0和TLS 1.1（尽管存在安全风险，但这是旧系统兼容的必要妥协）
• 切换兼容加密套件：进入SSL/TLS → 加密套件 → 选择「旧版」套件集，该集合包含Yosemite支持的加密算法（如ECDHE-RSA-AES128-GCM-SHA256）

2. 替换兼容的SSL证书

• 如果源站使用的是Let's Encrypt证书，Yosemite默认不信任其根证书，建议更换为Cloudflare提供的通用SSL证书（在Cloudflare控制台SSL/TLS → 边缘证书中启用），该证书兼容旧系统信任的根证书链
• 若需使用自定义证书，选择根证书在Yosemite信任列表中的服务商（如DigiCert、GlobalSign）

3. 排查Cloudflare规则与缓存

• 清除Cloudflare全局缓存：控制台 → 缓存 → 配置 → 点击「清除全部缓存」
• 检查页面规则、防火墙规则是否针对旧系统UA（User-Agent）做了拦截，暂时禁用相关规则测试

4. 客户端临时适配（仅当无法调整Cloudflare设置时）

• 安装Firefox 52 ESR版本：该版本是支持Yosemite的最后一个Firefox长期支持版，内置了更新的SSL组件，可绕过系统级SSL限制
• 避免使用系统默认的Safari浏览器，其完全依赖系统SSL组件，兼容性最差

额外建议 #

• Yosemite已停止官方安全更新，长期使用存在极高安全风险，优先建议用户升级系统至支持现代SSL标准的版本
• 调整Cloudflare配置后，使用SSL兼容性测试工具验证服务器是否能被Yosemite正常访问，同时确保其他现代设备不受影响
• 若必须保留旧系统兼容，定期监控Cloudflare的SSL政策变化，避免因政策更新再次出现兼容问题

内容的提问来源于stack exchange，提问作者NeERAJ TK