![TLS 不容忍的网站突然无法正常工作](https://linux22.com/image/645319/TLS%20%E4%B8%8D%E5%AE%B9%E5%BF%8D%E7%9A%84%E7%BD%91%E7%AB%99%E7%AA%81%E7%84%B6%E6%97%A0%E6%B3%95%E6%AD%A3%E5%B8%B8%E5%B7%A5%E4%BD%9C.png)
大约两周前,用户开始报告他们无法访问两个仅支持 https 的网站。当我检查这些网站时,我发现它们完全不能容忍 TLS。要进行连接,需要 SSL3,并且必须在浏览器中禁用 TLS(1.0-1.2)。现在,通过此解决方法,用户可以连接,但是我们发现有些用户根本不需要这样做 - 回退到 SSL3 仍然正常工作(与以前一样)。起初我以为这是某种 POODLE 缓解措施,但这似乎不是问题所在。当不在我们的内部网络上时,所有网站都可以访问(我可以在家中使用 Chrome 和 IE 的默认设置访问它们)。唯一的区别是这些网络在工作时会通过 zScaler 代理。但是,有时我们能够在不更改内部网络的任何设置的情况下进行连接,代理完好无损,这让我相信代理不是罪魁祸首(这是我的第一个想法)。我们唯一的其他想法是,这可能与我们的 2 个 GRE 路由器路由流量的方式有关。我们还应该研究其他什么吗?
答案1
目前,没有主流浏览器默认禁用 SSL 3.0(通常有手动禁用 SSL 3.0 的选项),并且所有浏览器都实施了后备措施,以防 TLS 不起作用。这意味着直接连接在大多数情况下应该可以正常工作。
我没有看到 Zscaler 的官方声明,说明他们在 HTTPS 拦截中如何应对 POODLE,但可能他们只是在禁用 SSL 3.0。这意味着在某些情况下,当您的连接通过 Zscaler 代理时,它仍会工作,而在其他情况下,SSL 3.0 已被阻止。