AWS EC2运行Apache与Express服务时报ERR_SSL_PROTOCOL_ERROR的连接问题

错误本质说明 #

这个报错的核心触发逻辑是：浏览器向目标端口发起加密TLS（HTTPS）握手请求时，收到的是未经过SSL加密的纯HTTP明文响应，和SSL证书本身的有效性没有直接关联。除了你已经确认的安全组端口开放、服务正常监听两个前置条件外，需要按以下维度逐层排查： #

排查步骤列表 #

1. 核对访问协议与端口的匹配性 #

• 主流浏览器对没有显式写http://前缀的访问地址，会自动默认升级为HTTPS请求，直接向443端口发起TLS握手。如果你的Apache、Express服务实际跑在80、3000这类非443端口的纯HTTP服务上，省略协议头访问就会直接触发该报错。
• 正确的HTTP服务访问格式必须显式写全协议：http://<EC2公网IP/域名>:<服务端口号>
• 检查是否开启了浏览器的HTTPS-First强制升级模式、或者安装了强制跳转HTTPS的插件，这类配置会绕过地址栏的http设置，强制把所有请求转发到443端口。

2. 排查系统本地防火墙的拦截规则 #

AWS安全组是云端的流量控制层，EC2实例本身自带的系统防火墙是独立的第二拦截层，很多排查场景里只配了安全组、忽略本地防火墙就会出现流量被拦截的问题：

• Ubuntu/Debian 系统执行 sudo ufw status，确认对应Web端口的入站规则是放行状态
• RHEL/Amazon Linux 系统执行 sudo firewall-cmd --list-all，确认对应Web端口没有被本地防火墙拦截
• 临时验证时可以短暂关闭本地防火墙测试，如果关了之后能正常访问，就需要针对性放行业务端口的规则，不要长期关闭防火墙。

3. 核对服务的监听绑定地址 #

服务在对应端口监听不代表能被公网访问，如果服务绑定的是本地回环地址127.0.0.1，就只会响应本机的请求，外部流量即使能到达实例也拿不到正确响应：

• 从sudo lsof -i -P -n | grep LISTEN的查询结果里，核对对应Web服务的监听地址，如果显示为127.0.0.1:<端口>，需要修改服务配置：
  • Apache 修改主配置文件里的Listen规则，设置为Listen 0.0.0.0:80
  • Express 启动时把监听地址显式设置为0.0.0.0，即代码中写为app.listen(<端口>, '0.0.0.0')

4. 验证服务响应的协议合规性 #

• 如果你确实计划通过443端口提供HTTPS服务，需要确认该端口上运行的服务已经加载了SSL模块、配置了有效证书，没有把纯HTTP的服务直接绑定在443端口——这种场景下TLS握手会直接失败，和当前报错完全一致。
• 在EC2实例本地执行命令curl -v http://<EC2公网IP>:<业务端口>，如果能正常拿到HTTP响应头和页面内容，说明服务本身运行正常，报错基本是浏览器强制走HTTPS的逻辑导致的。

5. 容易遗漏的基础配置核对 #

• 确认EC2实例关联的是弹性公网IP，而非实例的临时公网IP，临时公网IP会在实例重启后自动变化，导致访问目标和实际服务节点对不上。
• 如果使用域名访问，确认域名的解析A记录指向当前实例的弹性公网IP，没有指向已经下线的旧服务节点。
• 不要在同一个端口上同时跑纯HTTP和HTTPS服务，没有SSL加密配置的HTTP服务绑定443端口，必然触发SSL协议错误。

内容的提问来源于stack exchange，提问作者iammatthew2