Rocky Linux 8环境下NodeJS应用DH密钥过小导致SSL报错问题求助

这个报错write EPROTO ... dh key too small本质是因为Rocky Linux 8的OpenSSL默认安全策略比CentOS 7严格得多——Rocky 8使用的OpenSSL 1.1.1版本默认将安全级别（SECLEVEL）设为2，要求DH密钥长度至少2048位；而CentOS 7的OpenSSL版本默认SECLEVEL是1，对DH密钥长度限制更宽松。下面分场景给出解决方案：

场景1：你的应用作为客户端连接外部服务（对方DH密钥过小） #

如果是你的Node.js应用在请求某个外部服务时触发这个错误，说明目标服务使用的DH密钥不足2048位。可以通过两种方式临时绕过限制（注意：这只是临时方案，长期来看最好敦促服务方升级DH密钥）：

方式1：通过环境变量调整Node.js的TLS配置 #

启动应用前设置环境变量：

export NODE_OPTIONS="--tls-cipher-suite='DEFAULT:@SECLEVEL=1'"
node your-app.js

方式2：在代码中显式配置TLS选项 #

在发起HTTPS请求时，指定宽松一点的安全级别：

const https = require('https');
const { SSL_OP_NO_TLSv1_2, SSL_OP_NO_TLSv1_1 } = require('constants');

const requestOptions = {
  // 其他请求配置（如hostname、path等）
  ciphers: 'DEFAULT:@SECLEVEL=1',
  // 可选：如果不需要旧TLS版本，可以禁用它们
  secureOptions: SSL_OP_NO_TLSv1_2 | SSL_OP_NO_TLSv1_1
};

https.get(requestOptions, (res) => {
  // 处理响应逻辑
}).on('error', (err) => {
  console.error(err);
});

场景2：你的应用作为API Gateway后端服务（自身DH密钥不足） #

如果你的Node.js应用是HTTPS服务端，需要确保配置了足够长度的DH参数：

步骤1：生成2048位以上的DH参数 #

执行OpenSSL命令生成参数文件（2048位足够安全，生成时间约1-2分钟；如果要更安全可以用4096位，生成时间更长）：

openssl dhparam -out dhparam.pem 2048

步骤2：在Node.js服务中配置DH参数 #

在创建HTTPS服务器时，引入生成的dhparam文件：

const https = require('https');
const fs = require('fs');

const serverOptions = {
  key: fs.readFileSync('/path/to/your/private-key.pem'),
  cert: fs.readFileSync('/path/to/your/certificate.pem'),
  dhparam: fs.readFileSync('/path/to/your/dhparam.pem') // 添加这一行
};

https.createServer(serverOptions, (req, res) => {
  // 你的服务逻辑
  res.writeHead(200);
  res.end('API Response');
}).listen(443);

如果你使用Express框架，配置方式类似：

const express = require('express');
const https = require('https');
const fs = require('fs');

const app = express();
// 你的路由和中间件

const serverOptions = {
  key: fs.readFileSync('/path/to/private-key.pem'),
  cert: fs.readFileSync('/path/to/certificate.pem'),
  dhparam: fs.readFileSync('/path/to/dhparam.pem')
};

https.createServer(serverOptions, app).listen(443);

场景3：全局调整系统OpenSSL安全级别（不推荐） #

如果你需要让所有应用都放宽安全限制（不建议，会降低整个系统的安全性），可以修改系统的加密策略：

update-crypto-policies --set DEFAULT:SECLEVEL=1

执行后需要重启你的Node.js应用，或者重启系统让配置生效。

内容的提问来源于stack exchange，提问作者Sandip Raaje