为什么 https 不工作？

Question 1

好的，试试这个：

telnet localhost 443

这会给出响应吗？还是会挂起？如果响应，你应该得到类似以下内容的内容：

$ telnet localhost 443
Trying 127.0.0.1...
Connected to localhost.localdomain (127.0.0.1).
Escape character is '^]'.

control-]（如果未安装 telnet，请安装它；您可以通过点击然后输入“q”退出telnet 会话）

如果您能够在本地接口上连接到 Web 服务器（并且根据您的日志，Web 服务器正在运行），则存在防火墙问题（我知道您说您没有设置防火墙，但这将证实这一点）。在这种情况下，运行：

iptables -L -n

并发布结果。

更新

从评论来看，这是一个 EC2 实例，因此请查看与此实例关联的安全组。确保您在安全组中允许 tcp/443。

类似这样的事情可能会有帮助：

http://cloud-computing.learningtree.com/2010/09/24/understanding-amazon-ec2-security-groups-and-firewalls/

Answer

好的，试试这个：

telnet localhost 443

这会给出响应吗？还是会挂起？如果响应，你应该得到类似以下内容的内容：

$ telnet localhost 443
Trying 127.0.0.1...
Connected to localhost.localdomain (127.0.0.1).
Escape character is '^]'.

control-]（如果未安装 telnet，请安装它；您可以通过点击然后输入“q”退出telnet 会话）

如果您能够在本地接口上连接到 Web 服务器（并且根据您的日志，Web 服务器正在运行），则存在防火墙问题（我知道您说您没有设置防火墙，但这将证实这一点）。在这种情况下，运行：

iptables -L -n

并发布结果。

更新

从评论来看，这是一个 EC2 实例，因此请查看与此实例关联的安全组。确保您在安全组中允许 tcp/443。

类似这样的事情可能会有帮助：

http://cloud-computing.learningtree.com/2010/09/24/understanding-amazon-ec2-security-groups-and-firewalls/

Question 2

在双栈主机上，监听 ::443 意味着您正在监听 IPv4 和 IPv6。自行测试 TLS 协商：

openssl s_client -connect localhost:443
[lots of negotiation output, to ensure the basics are there]

然后您将能够测试 HTTP 是否回复：

GET / HTTP/1.0

以下是我重定向的方法：

<VirtualHost *:80>
    ServerName mail.example.com

    RewriteEngine On
    RewriteLog /var/log/apache2/rewrite.log
    RewriteLogLevel 4
    RewriteRule ^(.*)$ https://secure.example.com/mail$1 [R,L]
</VirtualHost>

请移除RewriteLog并RewriteLogLevel投入生产，否则可能会出现磁盘被无意义地填满的风险。

Answer

在双栈主机上，监听 ::443 意味着您正在监听 IPv4 和 IPv6。自行测试 TLS 协商：

openssl s_client -connect localhost:443
[lots of negotiation output, to ensure the basics are there]

然后您将能够测试 HTTP 是否回复：

GET / HTTP/1.0

以下是我重定向的方法：

<VirtualHost *:80>
    ServerName mail.example.com

    RewriteEngine On
    RewriteLog /var/log/apache2/rewrite.log
    RewriteLogLevel 4
    RewriteRule ^(.*)$ https://secure.example.com/mail$1 [R,L]
</VirtualHost>

请移除RewriteLog并RewriteLogLevel投入生产，否则可能会出现磁盘被无意义地填满的风险。

Question 3

类似问题，apache2 响应 443，日志中没有任何内容

/etc/apache2# openssl s_client -connect localhost:443 -state -debug

给了我以下内容

SSL_connect:unknown state
read from 0x1182fe0 [0x1189010] (7 bytes => 7 (0x7))
0000 - 48 54 54 50 2f 31 2e                              HTTP/1.
SSL_connect:error in unknown state
139790287365792:error:140770FC:SSL routines:SSL23_GET_SERVER_HELLO:unknown protocol:s23_clnt.c:795:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 295 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE

问题是 my.domain.com 的 IP 与虚拟主机中配置的 IP 不同。由于服务器使用 2 个 IP。因此 apache 在 443 上应答，但无法将网站连接到该连接。匹配 IP 一切正常

Answer

类似问题，apache2 响应 443，日志中没有任何内容

/etc/apache2# openssl s_client -connect localhost:443 -state -debug

给了我以下内容

SSL_connect:unknown state
read from 0x1182fe0 [0x1189010] (7 bytes => 7 (0x7))
0000 - 48 54 54 50 2f 31 2e                              HTTP/1.
SSL_connect:error in unknown state
139790287365792:error:140770FC:SSL routines:SSL23_GET_SERVER_HELLO:unknown protocol:s23_clnt.c:795:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 295 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE

问题是 my.domain.com 的 IP 与虚拟主机中配置的 IP 不同。由于服务器使用 2 个 IP。因此 apache 在 443 上应答，但无法将网站连接到该连接。匹配 IP 一切正常

Question 4

值得仔细检查您的提供商提供的 SSL 策略类型。经过大量调试后，我发现我的问题是由我的托管提供商在外部锁定端口 443 引起的，直到我向他们支付 SSL 证书费用。我原本打算使用 LetsEncrypt，但在这样做之前我必须切换主机。无论如何，如果其他解决方案都不起作用，并且您处于 VPS 环境中（或任何您可能对网络控制较少的环境），可能值得仔细检查这一点。

Answer

值得仔细检查您的提供商提供的 SSL 策略类型。经过大量调试后，我发现我的问题是由我的托管提供商在外部锁定端口 443 引起的，直到我向他们支付 SSL 证书费用。我原本打算使用 LetsEncrypt，但在这样做之前我必须切换主机。无论如何，如果其他解决方案都不起作用，并且您处于 VPS 环境中（或任何您可能对网络控制较少的环境），可能值得仔细检查这一点。

为什么 https 不工作？

答案1

答案2

答案3

答案4

相关内容