Cloud Foundry中CUPS/HTTPS打印PostScript遇TLS握手错误求助

解决Cloud Foundry Gorouter TLS握手失败的排查方法 #

首先针对你的日志级别问题：Gorouter支持的最详细日志级别是trace，比你当前设置的debug更细致。这个级别会输出TLS握手过程中的具体细节，比如客户端发送的 cipher suite 列表、证书协商步骤、密钥交换过程等，对定位握手失败原因非常关键。

如何设置Gorouter到Trace级别

你需要通过BOSH调整Gorouter的配置：

• 找到你的Cloud Foundry部署manifest（通常是cf-deployment.yml或自定义部署文件）
• 定位到properties.router部分，修改logging_level为trace：

  properties:
    router:
      logging_level: trace
  

• 重新部署Gorouter实例：bosh deploy -d cf <your-deployment-file.yml>

等部署完成后，查看Gorouter日志就能看到更详细的TLS握手相关输出了。

其他排查TLS握手失败的关键步骤

除了升级日志级别，这些方法也能帮你定位问题：

• 验证Cipher Suite兼容性：你给出的Gorouter cipher suites列表里的算法，需要确认CUPS客户端是否支持其中至少一种。可以用openssl s_client工具逐个测试：

  openssl s_client -connect <your-gorouter-addr>:443 -cipher TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  

  替换命令里的cipher为你配置的每一个，看哪个能成功建立连接。如果所有cipher都失败，说明CUPS不支持Gorouter配置的任何加密套件，需要调整两边的配置匹配。
• 检查证书信任链：确认Gorouter使用的SSL证书是否被CUPS信任。如果是自签名证书或者私有CA签发的证书，需要将CA证书添加到CUPS的信任存储中（具体步骤取决于CUPS的操作系统，比如Linux上通常放到/etc/ssl/certs目录并更新证书缓存）。你可以用以下命令检查证书是否能被正常验证：

  openssl s_client -connect <your-gorouter-addr>:443 -CAfile <your-ca-cert.pem>
  

• 抓包分析握手过程：如果日志还是不够清晰，可以用tcpdump在Gorouter节点抓包：

  tcpdump -i any port 443 -w tls-handshake.pcap
  

  然后用Wireshark打开捕获的文件，过滤tls协议，查看握手流程中哪一步失败（比如Client Hello之后没有Server Hello，或者出现Alert消息）。
• 检查CUPS HTTPS配置：确认CUPS的打印目的地配置是否正确，比如HTTPS端口是否正确，有没有启用代理导致TLS握手被拦截，或者CUPS是否强制使用了特定的TLS版本（比如TLS 1.0，而Gorouter可能禁用了旧版本）。

内容的提问来源于stack exchange，提问作者kinjelom