Tomcat 8.5配置签名证书后报ERR_SSL_VERSION_OR_CIPHER_MISMATCH如何解决

ERR_SSL_VERSION_OR_CIPHER_MISMATCH报错核心原因是服务端和客户端没有匹配的TLS协议版本、加密套件，或证书密钥配对错误、配置参数异常，可按以下步骤逐一排查修复：

第一步：验证证书与密钥的匹配性 #

首先确认管理员返回的证书和你生成的私钥是配对的，执行以下命令比对模数：

openssl rsa -modulus -noout -in sample_bfc_org.key
openssl x509 -modulus -noout -in sample_bfc_org.crt

两个命令输出的模数必须完全一致，不一致则说明证书和密钥不匹配，需要重新提交CSR申请签发，或确认管理员返回的证书是否对应你提交的CSR。

第二步：修正Tomcat APR协议的SSL配置 #

你当前的server.xml配置存在2个明显错误：

1. 生成私钥时使用了-nodes参数，代表私钥未设置加密密码，配置中多余的SSLPassword="123456"会导致私钥读取失败
2. 仅配置sslProtocol="TLS"未指定支持的TLS版本和加密套件，Tomcat会默认启用已经被主流客户端禁用的TLS1.0、TLS1.1版本，导致协议不匹配

修正后的Connector配置参考：

<Connector executor="tomcatThreadPool" 
port="443"
protocol="org.apache.coyote.http11.Http11AprProtocol"
connectionTimeout="20000" 
acceptCount="100"
maxKeepAliveRequests="15"
SSLCACertificateFile="${catalina.base}/SSL/DigiCertCA.crt"
SSLCertificateFile="${catalina.base}/SSL/sample_bfc_org.crt"
SSLCertificateKeyFile="${catalina.base}/SSL/sample_bfc_org.key"
SSLEnabled="true"
scheme="https"
secure="true" 
sslEnabledProtocols="TLSv1.2,TLSv1.3"
ciphers="TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384"
 /> 

• 配置说明：
  • 删除了错误的SSLPassword参数
  • 用sslEnabledProtocols替代原有的sslProtocol，指定仅支持当前主流的TLS1.2和TLS1.3版本
  • 新增ciphers参数，指定兼容主流浏览器的安全加密套件列表

第三步：验证配置并重启Tomcat #

• 配置修改保存后，先执行配置检查命令确认无语法错误：

  # Linux环境
  ${catalina.base}/bin/configtest.sh
  # Windows环境
  ${catalina.base}\bin\configtest.bat
  

• 检查无报错后重启Tomcat服务
• 重启后可本地执行命令验证TLS握手是否正常：

  openssl s_client -connect localhost:443 -tls1_2
  openssl s_client -connect localhost:443 -tls1_3
  

  正常会返回证书链和握手成功的信息，无报错即代表配置生效。

第四步：额外排查项 #

如果上述操作后问题仍然存在，检查以下内容：

• 确认证书链文件DigiCertCA.crt内容完整，包含所有中间CA证书和根CA证书
• 确认SSL目录下的证书、密钥文件权限，Tomcat运行用户拥有读取权限
• 确认服务器安装的OpenSSL版本不是过旧的版本，APR模式依赖系统OpenSSL，低版本OpenSSL不支持TLS1.3和新的加密套件

内容的提问来源于stack exchange，提问作者treeoid