如何解决访问us-west-1.signin.aws.amazon.com出现ERR_SSL_PROTOCOL_ERROR错误？

故障根因定位 #

你遇到的是客户端到AWS us-west-1区域服务端点的连接异常，单区域故障、其他区域正常的表现，已经排除AWS全局服务故障、本地客户端全局配置错误的可能，问题只会出在三个层面：本地网络规则拦截、DNS解析污染、AWS us-west-1区域局部服务故障。

分步排查步骤 #

• 本地网络规则排查
  首先临时关闭当前使用的VPN、代理、公司内网防火墙设备，直连公共网络重试访问us-west-1区域的控制台和接口。你curl返回的SSL routines:ssl3_get_record:wrong version number报错90%以上是中间网络设备篡改了TLS握手包导致的，部分老旧代理/ VPN设备不支持AWS要求的TLS 1.2及以上版本加密协议，就会出现这类SSL协议错误。
  还要检查本地hosts文件是否存在us-west-1相关AWS域名的硬编码配置，如有错误配置直接删除即可。
• DNS解析排查
  你curl请求解析到的us-west-1.signin.aws.amazon.com对应IP是176.32.114.100，可自行核对IP是否属于AWS官方公布的us-west-1区域IP段，若不属于则是DNS被污染，将本地DNS换成公共DNS（如114.114.114.114、8.8.8.8）后清空本地DNS缓存重试。
• 客户端TLS配置排查
  • Chrome浏览器：访问chrome://flags/#tls13-variant确认TLS 1.3未被禁用，清空浏览器SSL缓存后重试即可。
  • curl命令：添加--tls-max 1.2参数指定TLS版本重试，示例命令：curl -v --tls-max 1.2 https://us-west-1.signin.aws.amazon.com/
  • AWS CLI：在~/.aws/config配置文件中对应us-west-1的配置块添加参数tls_min_version = TLSv1_2，同时升级CLI到最新版本，排除旧版本CLI的TLS兼容问题。
• AWS区域故障排查
  如果以上步骤操作后仍无法访问，可确认是否是AWS us-west-1区域的局部服务故障，这类情况只需等待AWS官方修复即可，期间可正常使用us-east-1等无故障区域的服务。

内容的提问来源于stack exchange，提问作者Diogo Melo