Haproxy部署于CloudFlare后SSL连接中断，遇SSL_ERROR_CYPHER_OVERLAP求助

这个报错SSL_ERROR_CYPHER_OVERLAP本质是CloudFlare边缘节点和你的HAProxy服务器之间没有共同支持的加密套件，导致SSL握手直接失败——因为握手还没到达HAProxy的处理阶段，所以haproxy.log里自然不会有相关记录，绕开CF直接访问时，浏览器和HAProxy的套件兼容，所以一切正常。

下面是具体的排查和解决步骤：

1. 显式配置HAProxy的加密套件与TLS版本 #

你当前的HAProxy bind配置只指定了证书，没有显式定义加密套件和TLS版本范围，HAProxy会使用默认套件集，可能包含一些CloudFlare不支持的老旧套件，或者缺少CF优先支持的现代套件。

修改HAProxy的配置，添加兼容CloudFlare的加密套件和TLS版本限制：

bind *:443 ssl crt /something \
    ssl-default-bind-options ssl-min-ver TLSv1.2 ssl-max-ver TLSv1.3 \
    ssl-default-bind-ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384

• ssl-min-ver TLSv1.2 ssl-max-ver TLSv1.3：禁用老旧的TLS 1.0/1.1，只保留现代TLS版本，符合CloudFlare的安全要求
• 加密套件列表选择了CloudFlare官方推荐的现代安全套件，确保和CF边缘节点有重叠

2. 确认CloudFlare的SSL模式设置 #

在CloudFlare控制台的SSL/TLS -> Overview页面，确保SSL模式设置为Full或Full (strict)：

• 如果设置为Flexible，CloudFlare会用HTTP连接你的HAProxy服务器，但你的HAProxy只监听HTTPS，会导致连接失败（不过这不是当前报错的直接原因，但也要确认）
• Full (strict)要求你的HAProxy证书是受信任的CA颁发的（你购买的证书应该符合），而Full则允许自签证书（但不推荐）

3. 检查HAProxy的证书链完整性 #

CloudFlare对证书链的完整性要求较高，如果你的证书缺少中间链，也可能导致握手失败。可以用openssl命令验证：

openssl s_client -connect 你的服务器IP:443

查看输出中的Certificate chain部分，确保包含完整的根证书、中间证书和你的域名证书。如果缺少中间链，需要将中间证书和域名证书合并成一个pem文件，替换/something指向的证书文件。

4. 同步CloudFlare的加密套件配置 #

在CloudFlare控制台的SSL/TLS -> Edge Certificates -> Crypto Settings中，将加密套件设置为Auto（CloudFlare自动选择最优兼容套件），或者手动选择和HAProxy配置一致的套件集。避免手动设置过于严格的套件列表，导致和HAProxy无交集。

完成以上配置后，重启HAProxy，等待CloudFlare配置生效（通常几分钟），再测试HTTPS连接，应该就能解决SSL_ERROR_CYPHER_OVERLAP的问题了。

内容的提问来源于stack exchange，提问作者LocusSolus