Tomcat7配置GoDaddy证书后出现ERR_SSL_VERSION_OR_CIPHER_MISMATCH错误求助

我来帮你排查这个SSL cipher不匹配的问题——从你的nmap --script ssl-enum-ciphers.nse -p443 site.com结果来看，Tomcat根本没加载任何可用的加密套件，结合GoDaddy证书转JKS的背景，我们一步步来解决：

1. 先确认证书转换过程是否正确 #

GoDaddy的证书需要完整的证书链（主证书+中间证书）才能让Tomcat正确协商加密套件，很多人转JKS时会漏掉中间链，导致SSL握手失败。正确的转换步骤应该是：

步骤1：将私钥和证书转成PKCS12格式（keytool无法直接导入私钥） #

用openssl执行以下命令：

openssl pkcs12 -export -in your_domain.crt -inkey your_domain.key -out your_domain.p12 -name your_domain_alias

执行时会要求设置PKCS12的密码，记下来后面要用。

步骤2：将PKCS12导入到JKS密钥库 #

keytool -importkeystore -destkeystore your_keystore.jks -srckeystore your_domain.p12 -srcstoretype PKCS12

这里需要输入JKS的密码，以及刚才设置的PKCS12密码。

步骤3：导入GoDaddy的中间证书链 #

下载GoDaddy的根/中间证书包（比如gd_bundle-g2-g1.crt），然后导入到JKS：

keytool -import -alias godaddy_root -keystore your_keystore.jks -trustcacerts -file gd_bundle-g2-g1.crt

导入时选择“信任”这个证书。

2. 修正Tomcat7的SSL Connector配置 #

Tomcat7的默认SSL配置可能和Java8的加密套件不兼容，需要明确指定TLS版本和支持的cipher套件：

针对Tomcat 7.0.52及以上版本（支持SSLHostConfig） #

修改conf/server.xml中的Connector节点：

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true">
    <SSLHostConfig>
        <Certificate certificateKeystoreFile="conf/your_keystore.jks"
                     type="RSA"
                     certificateKeystorePassword="your_jks_password"
                     sslProtocol="TLS"
                     sslEnabledProtocols="TLSv1.2,TLSv1.1,TLSv1.0"
                     ciphers="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA"/>
    </SSLHostConfig>
</Connector>

针对Tomcat 7.0.52以下版本 #

直接在Connector节点中配置：

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           maxThreads="150" SSLEnabled="true"
           keystoreFile="conf/your_keystore.jks"
           keystorePass="your_jks_password"
           sslProtocol="TLS"
           sslEnabledProtocols="TLSv1.2,TLSv1.1,TLSv1.0"
           ciphers="TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA"/>

注意：优先使用Http11NioProtocol而非旧的SSLProtocol，它对Java8的加密套件支持更好。

3. 检查Java8的安全策略限制 #

Java8默认会禁用一些弱加密套件，但可能误禁用了必要的套件。打开JRE/lib/security/java.security文件，找到jdk.tls.disabledAlgorithms配置项，临时注释掉其中的RSA、AES相关限制（仅测试用），重启Tomcat后再用nmap扫描。如果问题解决，再逐步恢复安全的配置，只保留必要的禁用项。

4. 启用Tomcat SSL调试日志排查细节 #

如果以上步骤还没解决，打开Tomcat的SSL调试日志，查看握手过程中的错误：
在bin/catalina.sh（Linux）或bin/catalina.bat（Windows）中添加：

JAVA_OPTS="-Djavax.net.debug=ssl,handshake"

重启Tomcat后，查看logs/catalina.out，里面会详细输出SSL握手的每一步，包括证书加载情况、可用cipher套件列表、握手失败的具体原因。

5. 同步Node.js服务器的TLS配置 #

如果Node.js服务器需要和Tomcat交互，要确保Node.js的TLS配置支持Tomcat指定的cipher套件。在Node.js的HTTPS服务器配置中明确指定：

const fs = require('fs');
const https = require('https');

const options = {
  key: fs.readFileSync('your_domain.key'),
  cert: fs.readFileSync('your_domain.crt'),
  ca: fs.readFileSync('gd_bundle-g2-g1.crt'),
  ciphers: 'TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA',
  secureProtocol: 'TLSv1_2_method'
};

https.createServer(options, (req, res) => {
  res.writeHead(200);
  res.end('Hello World!\n');
}).listen(443);

完成以上步骤后，重新启动Tomcat，再用nmap扫描，应该能看到TLSv1.2等版本下的可用cipher套件，ERR_SSL_VERSION_OR_CIPHER_MISMATCH错误也会消失。

内容的提问来源于stack exchange，提问作者t10011