如何阻止TLS版本低于1.2的客户端连接？OpenSSL弃用函数替代咨询

好问题！你完全不用纠结于弃用警告，OpenSSL 1.1.0+已经提供了更灵活且推荐的方式来严格控制TLS版本范围，既符合官方最佳实践，又能满足你的安全需求。

具体实现步骤 #

1. 使用通用的TLS_server_method()创建上下文
   这是OpenSSL 1.1.0及以上版本推荐的方式，避免了特定版本方法的弃用问题。
2. 通过SSL_CTX_set_min_proto_version()设置最低允许的TLS版本
   这个函数可以精准限制客户端必须使用TLS 1.2或更高版本才能建立连接，低于该版本的请求会被直接拒绝。

完整代码示例 #

#include <openssl/ssl.h>

int main() {
    // 初始化OpenSSL（如果你的代码还没做的话）
    SSL_load_error_strings();
    OpenSSL_add_all_algorithms();

    // 创建通用TLS服务器上下文
    SSL_CTX *ctx = SSL_CTX_new(TLS_server_method());
    if (!ctx) {
        fprintf(stderr, "Failed to create SSL context\n");
        ERR_print_errors_fp(stderr);
        return 1;
    }

    // 强制最低TLS版本为1.2
    if (SSL_CTX_set_min_proto_version(ctx, TLS1_2_VERSION) != 1) {
        fprintf(stderr, "Failed to set minimum TLS version\n");
        ERR_print_errors_fp(stderr);
        SSL_CTX_free(ctx);
        return 1;
    }

    // 可选：设置最高允许的TLS版本（比如开放到TLS 1.3）
    // if (SSL_CTX_set_max_proto_version(ctx, TLS1_3_VERSION) != 1) {
    //     fprintf(stderr, "Failed to set maximum TLS version\n");
    //     ERR_print_errors_fp(stderr);
    //     SSL_CTX_free(ctx);
    //     return 1;
    // }

    // 后续的证书配置、监听连接等逻辑...

    SSL_CTX_free(ctx);
    return 0;
}

为什么这是最优方案 #

• 避免弃用警告：使用官方推荐的通用方法，不会收到TLSv1_2_server_method()的弃用提示。
• 精准版本控制：通过设置最小版本，直接拒绝所有TLS 1.0/1.1的客户端连接，完全符合你的安全过滤需求。
• 兼容性好：SSL_CTX_set_min_proto_version()在OpenSSL 1.1.0及以上版本稳定可用，正好匹配你使用的Debian 9.3（libssl-dev 1.1.0f）环境。

这个方案既满足了你的安全要求，又遵循了OpenSSL的演进方向，比“忽略警告”要规范得多。

内容的提问来源于stack exchange，提问作者YaniMan