Apache反向代理：如何配置下游连接的TLS版本与加密套件？

你的核心问题是Apache默认会尝试用TLSv1.3连接Tomcat，但Tomcat不支持，且你之前的SSLProxyProtocol +TLSv1.2只是追加协议而非禁用高版本，以下是具体解决步骤：

1. 修正SSLProxyProtocol配置
   不要用追加语法，直接指定仅启用TLSv1.2，彻底禁用TLSv1.3：

SSLProxyProtocol TLSv1.2

如果之前配置过其他低版本协议（如TLSv1.1），建议一并移除，只保留Tomcat支持的TLSv1.2。

2. 匹配Tomcat的加密套件
   需要将SSLProxyCipherSuite设置为Tomcat实际支持的套件列表。你可以通过openssl s_client -connect 127.0.0.1:8443 -tls1_2命令（在Apache服务器本地执行）查看Tomcat支持的套件，然后把这些套件按优先级排序填入配置。示例配置（覆盖常见TLS1.2安全套件）：

SSLProxyCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256

3. 确保配置生效的位置
   这些配置需要放在对应的反向代理VirtualHost块内（优先），或全局proxy.conf中，同时必须启用SSLProxyEngine on，示例VirtualHost结构：

<VirtualHost *:443>
    # 前端面向浏览器的SSL配置（可保留TLSv1.3，不影响后端）
    SSLEngine on
    SSLCertificateFile /path/to/your/cert.pem
    SSLCertificateKeyFile /path/to/your/key.pem
    SSLProtocol TLSv1.2 TLSv1.3

    # 后端面向Tomcat的代理SSL配置
    SSLProxyEngine on
    SSLProxyProtocol TLSv1.2
    SSLProxyCipherSuite ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:...

    ProxyPass / https://your-tomcat-host:8443/
    ProxyPassReverse / https://your-tomcat-host:8443/
</VirtualHost>

4. 验证配置
   修改后重启Apache：

systemctl restart apache2

查看Apache错误日志（/var/log/apache2/error.log）和Tomcat的catalina.out，确认不再出现TLSv1.3握手失败的异常。

tcpwrapped表示nmap探测目标端口（127.0.0.1:8443）时，发送的TCP连接请求被拦截或拒绝，无法完成服务探测，常见原因包括：

• Tomcat的8443端口配置了访问控制，仅允许Apache服务器的IP连接，本地nmap的探测被拒绝；
• 系统启用了TCP wrapper（通过/etc/hosts.allow和/etc/hosts.deny），限制了对8443端口的访问；
• Tomcat的SSL握手逻辑拒绝了nmap的探测包（比如要求特定客户端证书，或探测包不符合TLS规范）。

如果需要确认Tomcat的SSL套件，建议用openssl s_client -connect 127.0.0.1:8443 -tls1_2命令，该命令会强制用TLSv1.2发起连接，能直接看到Tomcat支持的套件列表，同时验证TLSv1.2握手是否正常。

内容的提问来源于stack exchange，提问作者mmo