我知道我在 Centos 5.11 - EOL 服务器上运行一个网站,但暂时无法升级。该网站运行 Sellerdeck 软件,该软件与 Paypal 集成以进行付款。
大约在接下来的一个月内,Paypal 将要求我使用 TLS 1.2 [1] 与其建立连接,但 5.11(0.9.8b)中安装的默认 OpenSSL 版本不支持该协议。
我已按照说明 [2] 安装了第二个版本的 OpenSSL,以及链接到新版本 OpenSSL 的第二个版本的 Curl(它将支持 TLS 1.2),但它仍然没有通过 Paypal 测试。
Centos 5.11 在 /usr/local/ 中带有 OpenSSL 1.0.2k:
/usr/local/bin/curl https://tlstest.paypal.com
curl: (35) Unknown SSL protocol error in connection to tlstest.paypal.com:443
带有 OpenSSL 1.0.1e-fips 的 Centos 6.9
curl https://tlstest.paypal.com
PayPal_Connection_OK
有人能帮我指出为什么更新后的 OpenSSL 无法连接吗?
非常感谢
凯文
详细的非工作输出:
/usr/local/bin/curl -Ivvv https://tlstest.paypal.com
* Rebuilt URL to: https://tlstest.paypal.com/
* Trying 23.67.159.210...
* Connected to tlstest.paypal.com (23.67.159.210) port 443 (#0)
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* successfully set certificate verify locations:
* CAfile: /etc/pki/tls/certs/ca-bundle.crt
CApath: none
* TLSv1.0, TLS handshake, Client hello (1):
* Unknown SSL protocol error in connection to tlstest.paypal.com:443
* Closing connection 0
curl: (35) Unknown SSL protocol error in connection to tlstest.paypal.com:443
详细工作输出:
curl -Ivvv https://tlstest.paypal.com
* About to connect() to tlstest.paypal.com port 443 (#0)
* Trying 23.214.50.150... connected
* Connected to tlstest.paypal.com (23.214.50.150) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
* CAfile: /etc/pki/tls/certs/ca-bundle.crt
CApath: none
* SSL connection using TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
* Server certificate:
* subject: CN=tlstest.paypal.com,OU=CDN Support,O="PayPal, Inc.",STREET=2211 N 1st St,L=San Jose,ST=California,postalCode=95131-2021,C=US,serialNumber=3014267,businessCategory=Private Organization,incorporationState=Delaware,incorporationCountry=US
* start date: Nov 06 00:00:00 2015 GMT
* expire date: Oct 26 23:59:59 2017 GMT
* common name: tlstest.paypal.com
* issuer: CN=Symantec Class 3 EV SSL CA - G3,OU=Symantec Trust Network,O=Symantec Corporation,C=US
> HEAD / HTTP/1.1
> User-Agent: curl/7.19.7 (i386-redhat-linux-gnu) libcurl/7.19.7 NSS/3.27.1 zlib/1.2.3 libidn/1.18 libssh2/1.4.2
> Host: tlstest.paypal.com
> Accept: */*
>
< HTTP/1.1 200 OK
HTTP/1.1 200 OK
< Content-Type: text/html
Content-Type: text/html
< Content-Length: 20
Content-Length: 20
< Date: Sat, 06 May 2017 12:58:47 GMT
Date: Sat, 06 May 2017 12:58:47 GMT
< Connection: keep-alive
Connection: keep-alive
<
* Connection #0 to host tlstest.paypal.com left intact
* Closing connection #0
答案1
哦,谢谢你哈坎,这么简单。
ldd /usr/local/bin/curl 显示新的 curl不是链接到新的 OpenSSL(用尽了滚动缓冲区来复制到这里)。
我重新运行了 curl 的 configure、make 和 make install:
ldd /usr/local/bin/curl
linux-gate.so.1 => (0xb77be000)
libcurl.so.4 => /usr/local/lib/libcurl.so.4 (0xb7764000)
libssl.so.1.0.0 => /usr/local/ssl/lib/libssl.so.1.0.0 (0xb76fe000)
libcrypto.so.1.0.0 => /usr/local/ssl/lib/libcrypto.so.1.0.0 (0xb7560000)
libz.so.1 => /lib/libz.so.1 (0xb754d000)
librt.so.1 => /lib/librt.so.1 (0xb7543000)
libc.so.6 => /lib/libc.so.6 (0xb73e7000)
libidn.so.11 => /usr/lib/libidn.so.11 (0xb73b6000)
libdl.so.2 => /lib/libdl.so.2 (0xb73b1000)
libpthread.so.0 => /lib/libpthread.so.0 (0xb7397000)
/lib/ld-linux.so.2 (0xb77bf000)
现在它可以工作了:
/usr/local/bin/curl https://tlstest.paypal.com
PayPal_Connection_OK
谢谢你!
答案2
对于任何在使用较新的 SSL(如 TLS 1.2)连接 API 时遇到 CentOS 5 EOL 问题的用户:
设置一个单独的 Linux VPS 并安装 nginx,使用代理密码作为您的盒子和 API 端点之间的双向代理。
使用此方法,我能够在 30 分钟内让 nginx 作为隧道代理运行。无论你如何连接到你的 VPS(我通过 HTTP 连接),它都支持 API 端的所有 SSL 密码套件。
这是我的 nginx 默认服务器:
server {
listen 80 default_server config;
listen [::]:80 default_server;
access_log off;
proxy_pass https://someAPIdomain.com;
}
就这样!更改配置后记得重启 nginx 服务。当然,如果你愿意,你可以添加额外的参数来只允许你的 CentOS 服务器的 IP,更改监听端口,以及其他安全/混淆措施。