OpenSSL显示TLSv1存在但Apache仅启用TLSv1.2的问题咨询

1. OpenSSL命令与nmap结果差异的原因 #

出现这种差异核心在于两类命令的检测对象不同：

• 场景1、2中你使用的OpenSSL命令，大概率是查询系统OpenSSL库本身支持的协议范围（比如openssl ciphers -v | grep TLSv1），或是读取了未被Apache服务实际加载的默认配置文件，这些结果只代表OpenSSL库的能力，不反映Apache服务最终生效的TLS配置。
• 而openssl s_client和nmap是通过实际与Apache服务建立连接来检测协议支持，拿到的是Apache加载所有配置文件（包括全局ssl.conf和虚拟主机单独配置）后的最终生效结果。
• 另外如果存在多配置文件覆盖的情况（比如某虚拟主机单独设置了SSLProtocol），也会导致静态查询命令和实际连接测试的结果不一致。

2. 若TLSv1启用，如何彻底禁用 #

步骤1：统一Apache所有配置的SSLProtocol设置 #

检查以下所有配置文件，确保所有SSLProtocol行统一设置为：

SSLProtocol -ALL +TLSv1.2

需要检查的文件包括：

• /etc/httpd/conf/httpd.conf（主配置）
• /etc/httpd/conf.d/ssl.conf（SSL全局配置）
• /etc/httpd/conf.d/下所有虚拟主机的专属配置文件（比如your-domain.conf）

步骤2：调整RHEL 8系统加密政策 #

RHEL 8的crypto-policies会影响系统级加密协议默认值，执行以下命令查看当前政策：

update-crypto-policies --show

如果显示为LEGACY（该政策会启用TLSv1），切换到DEFAULT政策：

update-crypto-policies --set DEFAULT

步骤3：检查Java应用的TLS配置（若直接对外服务） #

如果你的Java应用未通过Apache反向代理，而是直接对外提供服务，需要在启动参数中添加强制启用TLSv1.2的配置：

-Djdk.tls.client.protocols=TLSv1.2 -Dhttps.protocols=TLSv1.2

修改应用启动脚本后重启Java服务。

步骤4：重启Apache服务 #

systemctl restart httpd

3. 在Linux服务器上确认TLSv1已禁用的方法 #

• 用openssl s_client强制测试TLSv1连接：

  openssl s_client -connect 你的服务器IP:443 -tls1
  

  若返回handshake failure或类似连接失败提示，说明TLSv1已禁用；若能成功建立连接则仍在启用。

• 用nmap扫描协议支持：

  nmap --script ssl-enum-ciphers -p 443 你的服务器IP
  

  查看扫描结果中的TLSv1字段，若显示No supported ciphers found或未列出TLSv1，则说明已禁用。

• 查看Apache生效配置：
  导出所有虚拟主机的配置，检查每个站点的SSLProtocol设置：

  httpd -t -D DUMP_VHOSTS
  

  同时确认ssl模块已加载：

  httpd -M | grep ssl
  

• 用curl测试：

  curl -v --tlsv1.0 https://你的域名
  

  若返回sslv3 alert handshake failure类错误，说明TLSv1已禁用。

内容的提问来源于stack exchange，提问作者Learner