在Docker运行的httpd 2.4.56上启用TLSv1.1失败的问题求助

1. 明确指定httpd的SSL协议版本 #

httpd 2.4.56中，SSLProtocol all默认仅包含TLSv1.2及以上版本，不会自动启用TLSv1.1。修改httpd-ssl.conf中的SSLProtocol指令，明确列出需要支持的协议：

SSLProtocol TLSv1.1 TLSv1.2 TLSv1.3 -SSLv3

同时保持SSLCipherSuite ALL:@SECLEVEL=1即可，该配置已兼容TLSv1.1所需的加密套件。

2. 直接在httpd配置中设置OpenSSL参数（替代修改系统openssl.cnf） #

httpd的SSLOpenSSLConfCmd指令优先级高于系统全局的openssl.cnf，可直接在httpd-ssl.conf的SSL配置段添加以下内容，绕过系统配置未被读取的问题：

SSLOpenSSLConfCmd MinProtocol TLSv1.1
SSLOpenSSLConfCmd CipherString ALL:@SECLEVEL=1

3. 验证httpd配置是否生效 #

在容器内执行以下命令，检查虚拟主机配置是否正确加载：

httpd -t -D DUMP_VHOSTS

确认监听9443端口的SSL虚拟主机存在，且配置段包含上述修改的指令。同时执行httpd -t确认配置无语法错误。

4. 确保容器/httpd已重启 #

修改配置后必须重启服务才能生效：

• 容器内重启httpd：httpd -k restart
• 或直接重启容器：docker restart <你的容器名称/ID>

5. 用openssl命令直接测试TLSv1.1连通性 #

nmap探测可能存在局限性，用openssl原生命令验证：

openssl s_client -connect localhost:9443 -tls1_1

若输出包含Verify return code: 0 (ok)，说明TLSv1.1已成功启用；若连接失败，会明确提示错误原因（如协议不支持）。

6. 检查httpd编译时的OpenSSL参数 #

执行httpd -V查看编译配置，确认httpd是否链接系统OpenSSL库，以及是否有特殊的OPENSSL_CONF环境变量设置：

httpd -V

若输出显示OPENSSL_CONF指向其他路径，需修改对应路径下的openssl配置文件，或继续用SSLOpenSSLConfCmd覆盖。

内容的提问来源于stack exchange，提问作者Marco Benetti