Linux下搭建httpd 2.4.57 TLS1.3实例后仍显示TLS1.2问题排查

以下是可能导致TLS 1.3未启用的核心排查方向：

1. 确认httpd实例关联的OpenSSL版本 #

系统存在两个httpd实例，需确保你启动的/app/usr/common/httpd-2.4.57实例编译时链接的是OpenSSL 1.1.1：

• 检查运行中httpd的依赖库：

  lsof -p $(pgrep -f /app/usr/common/httpd-2.4.57) | grep libssl
  

  或直接查看二进制依赖：

  ldd /app/usr/common/httpd-2.4.57/bin/httpd | grep libssl
  

  若输出不是OpenSSL 1.1.1的库文件，说明该httpd实例编译时使用了其他版本的OpenSSL，无法启用TLS 1.3。

2. 检查SSLProtocol配置的优先级 #

• 你在<VirtualHost *:8443>中设置了SSLProtocol -all +TLSv1.3，但如果全局配置（httpd.conf的非虚拟主机段）或httpd-ssl.conf中<VirtualHost _default_:443>的SSLProtocol配置覆盖了该设置，会导致TLS 1.3未生效。需确保全局配置无冲突声明，或虚拟主机的配置优先级更高。

3. 验证TLS 1.3对应的密码套件配置 #

TLS 1.3的密码套件格式与TLS 1.2不同，不能混用旧套件，需确保SSLCipherSuite包含TLS 1.3支持的套件：

SSLCipherSuite TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256

若仅配置了TLS 1.2的套件，客户端协商会 fallback 到TLS 1.2。

4. 确认测试的端口对应正确的虚拟主机 #

你在<VirtualHost *:8443>中配置了TLS 1.3，但httpd-ssl.conf的默认虚拟主机是443端口。若测试的是443端口，且该虚拟主机未设置SSLProtocol -all +TLSv1.3，则只会启用TLS 1.2。需明确测试端口，对应检查虚拟主机配置。

5. 检查mod_ssl模块是否正确加载 #

确保httpd加载了适配OpenSSL 1.1.1的mod_ssl模块：

/app/usr/common/httpd-2.4.57/bin/httpd -M | grep ssl

若输出无ssl_module (shared)，需在httpd.conf中添加LoadModule ssl_module modules/mod_ssl.so，且该模块需基于OpenSSL 1.1.1编译。

6. 确认配置文件是否被正确加载 #

启动httpd时需显式指定配置文件，避免读取系统默认配置：

/app/usr/common/httpd-2.4.57/bin/httpd -f /app/usr/common/httpd-2.4.57/conf/httpd.conf

验证当前实例加载的配置文件：

/app/usr/common/httpd-2.4.57/bin/httpd -V | grep SERVER_CONFIG_FILE

输出需匹配你修改的配置文件路径，否则配置未生效。

内容的提问来源于stack exchange，提问作者VJay