Python3.8下Modbus TCP TLS连接握手超时、TLS版本过低问题求解

• 修正SSLContext调用逻辑
  必须使用SSLContext实例自带的wrap_socket方法，禁止调用全局的ssl.wrap_socket()，后者会忽略你提前配置的所有版本限制、证书加载规则，直接使用默认参数发起TLS请求，这是客户端发送TLS1.0请求最常见的原因。
  正确代码示例：

import ssl
import socket

# 初始化上下文
context = ssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT)
# 加载根证书
context.load_verify_locations("cert.pem")
# 先建立普通TCP连接
raw_sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
raw_sock.connect(("服务端地址", 802)) # Modbus TLS默认端口为802
# 用上下文的wrap_socket封装，不要用全局ssl.wrap_socket
ssl_sock = context.wrap_socket(raw_sock, server_hostname="服务端证书对应的域名/IP")

• 替换旧版本配置方式
  Python 3.7+推荐使用minimum_version/maximum_version属性指定TLS版本范围，比手动修改options禁用旧协议更可靠，不会出现漏配置的情况：

# 强制仅允许TLS1.2及以上版本
context.minimum_version = ssl.TLSVersion.TLSv1_2
# 按需配置最高支持版本，不需要的话可以不修改默认值
context.maximum_version = ssl.TLSVersion.TLSv1_3

• 确认端口配置正确
  Modbus TCP明文默认端口是502，TLS加密默认端口是802，不要误连明文端口，明文端口不会响应TLS握手报文，会直接导致客户端卡在握手步骤。

• 验证配置有效性
  在创建完SSLContext后打印配置确认生效：

print(context.minimum_version) # 正常输出应为TLSVersion.TLSv1_2
print(context.get_ciphers()) # 确认加密套件都是TLS1.2及以上支持的套件

• 服务端连通性校验
  使用系统自带openssl工具验证服务端TLS1.2支持能力：
  openssl s_client -connect 服务端地址:端口 -tls1_2 -CAfile cert.pem
  如果命令行执行后握手失败，说明问题出在服务端配置，需要优先排查服务端的TLS支持、端口监听、证书配置逻辑。

内容的提问来源于stack exchange，提问作者gogogo