TLS1.3 不适用于带有 OpenSSL 1.1.1-pre9 的 nginx 1.15.2

Question

尽管在我的配置文件中启用了最新的 nginx 和 OpenSSL，但它不会在我的服务器上产生 TLS1.3（www.baldeonline.com 供参考）。此外，我的 nginx 实例是在安装了 OpenSSL 1.1.1-pre9 的情况下编译的。

$ nginx -V 返回：

nginx version: nginx/1.15.2
built by gcc 6.3.0 20170516 (Debian 6.3.0-18+deb9u1)
built with OpenSSL 1.1.1-pre9 (beta) 21 Aug 2018

到目前为止，我看到的大多数教程都包括 CloudFlare，所以我怀疑它在这种情况下可以作为服务器和 CloudFlare 之间的 TLS1.2 以及 CloudFlare 和客户端之间的 TLS1.3 工作，尽管我没有任何具体的建议。

编辑

正如帕特里克提到的，运行命令：
$ openssl s_client -connect www.baldeonline.com:443

显示已启用 TLS1.3。TLS1.3 应在浏览器更新以完全支持最终 TLS1.3（2018 年 8 月 15 日）标准时与浏览器一起使用，而不仅仅是标准草案。

对于那些有兴趣的人：

https://wiki.openssl.org/index.php/TLS1.3#Current_status_of_the_TLSv1.3_standard

尽管最新的 1.1.1 版本支持最终标准版本，但其他支持 TLSv1.3 的应用程序可能仍在使用较旧的草稿版本。这是互操作性问题的常见来源。如果支持不同 TLSv1.3 草案版本的两个对等点尝试通信，则它们将回退到 TLSv1.2。

TLDR：如果您希望 TLS1.3现在与草案 28 一起使用，请使用 OpenSSL 1.1.1-pre8 https://fearby.com/article/enabling-tls-1-3-ssl-on-a-nginx-website-on -an-ubuntu-16-04-server-that-is-using-cloudflare/ 跳到“更新 Open SSL 的时间”并使用https://www.openssl.org/source/openssl-1.1.1-pre8。 tar.gz代替 git clone。

Answer 1

在 OpenSSL 1.1.1-pre9 中，除 TLS1.3 最终版本之外的所有草案支持都已被删除。但是，浏览器仅支持草稿版本。