自从昨天重新启动以来，我们的一个虚拟服务器（Debian Lenny，使用 Xen 虚拟化）不断耗尽熵，导致尝试通过 SSH / TLS 启用协议进行连接时超时等。有没有办法检查哪个进程正在（/正在）吃掉所有的熵？
编辑：
我试过的：
什么最终奏效：
我在 CentOS 服务器上安装了 VSFTP 守护程序，使用 RSA 证书使用显式 TLS 登录。现在，我不能上传超过 82k。
如果文件低于该限制，则没有问题。FTP 就像一个魅力。但是一旦 FileZilla 的文件达到 82k（准确地说是 81,952 字节），传输就会停止，并且 FTP 客户端挂起直到超时。
FTP客户端控制台：
15:10:21 Command: STOR jquery-1.7.2.min.js
15:10:21 Response: 150 Ok to send data.
15:11:21 Error: Connection timed out
15:11:21 Error: File transfer failed after transferring 82 KB in 60 seconds
/var/log/vsftpd.log
FTP command: Client "x.x.x.x", "STOR jquery-1.7.2.min.js"
FTP response: Client "x.x.x.x", "150 Ok to send data."
OK UPLOAD: Client "x.x.x.x", "jquery-1.7.2.min.js", 81952 bytes, 1.32Kbyte/sec
FTP response: Client "x.x.x.x", "226 File receive OK." …我正在尝试配置 postfix，它将用 TLS 加密的邮件发送到收件人服务器。
我有什么：接收加密的邮件（其他服务器 - > 我的服务器），用户可以加密连接到我的服务器。
服务器：Debian 7.2 后缀 2.9.6
配置行：
/etc/postfix/main.conf（相关代码行）
smtp_tls_security_level = may
smtp_use_tls = yes
smtp_tls_policy_maps = hash:/etc/postfix/tls_policy
/etc/postfix/tls_policy（仅用于测试，我希望它适用于所有域）
google.com encrypt
.google.com encrypt
gmail.com encrypt
.gmail.com encrypt
我尝试了上面的一些组合，甚至将其直接放在 master.conf 中，但没有任何效果：
Dec 10 10:10:21 myserver postfix/smtp[7101]: 9019B4583500: to=<my.address@gmail.com>, relay=gmail-smtp-in.l.google.com[173.194.70.26]:25, delay=0.96, delays=0.13/0.01/0.27/0.55, dsn=2.0.0, status=sent (250 2.0.0 OK 1386666621 u49si13392861eep.148 - gsmtp)
我究竟做错了什么？
我想为处理我的电子邮件的域设置 DANE。我的域是在 OVH 注册的，我正在使用他们的任播 DNS 服务器。它们确实支持 DNSSEC，但不支持 TLSA 记录。
是否有我可以使用的后备记录类型？（比如如果服务器不支持 SPF 等，我可以使用 TXT）
在我们的一台 Windows Server 2012 机器上运行 TLS 1.2 协议时遇到了一些问题。我使用 Qualys 的 ssllabs.com 进行了检查，并使用 powershell 脚本和 linux 工具“cipherscan”进行了测试。
该服务器托管一台 Exchange 2013 SP1 (CU4) 服务器，带有 IIS 8.0。使用的证书是我公司CA颁发的。另一个安装了相同 Exchange 2013 SP1 (CU4) 的 Windows Server 2012 使用相同的证书可以完美运行。
因为我可以研究 Windows Server 2012 默认使用 TLS 1.2。但是，可以使用注册表配置此设置：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
DWORD "DisabledByDefault" Value "0x00000000"
DWORD "Enabled" Value "0x00000001" or "0xffffffff"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server
DWORD "DisabledByDefault" Value "0x00000000"
DWORD "Enabled" Value "0x00000001" or "0xffffffff"
Microsoft 还提到此本地组策略设置可能会有所帮助：
System cryptography: Use FIPS compliant algorithms for encryption, hashing, and signing
由于此设置应在操作系统内部进行设置，因此 Microsoft 还建议在 …
我最近了解到，在 11 月发布补丁KB2992611之后，Microsoft 为 schannel（以及 IIS）提供了四个新的密码套件；
我也知道此补丁和上述四种密码存在问题，导致补丁被临时拉取，并且默认情况下上述密码套件处于禁用状态。
我的问题有两个方面；
在以下两个选项中，哪一个被认为是“最好的”；
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
换句话说，第二个选项 (ECDHE_RSA) 的黄道曲线元素是否被第一个提供的高级版 AES (AES_GCM) 所抵消？
最后，这里的建议在 2008 R2、2012 和 2012 R2 之间有什么不同吗？
我不像本网站上的大多数人那样在技术上倾向于，所以请记住这一点。我想了解更多关于电子邮件安全的知识，所以我做了一些研究，一切都根据我的理解，所以请在需要的地方纠正我。客户端和服务器（MSA/MTA？）之间的连接可以加密，但服务器到服务器（MTA 到 MTA？）之间的加密取决于每个支持 STARTTLS 的服务器。STARTTLS 也可以在客户端和服务器之间实现。
我遇到的 STARTTLS 的唯一弱点是连接可以通过加密或纯文本形式被接受，因此它使 MITM 攻击变得微不足道，其中加密可以降级为纯文本。我也知道伪造证书存在问题，尽管我不知道这是否与 MITM 直接相关。
我读到这是一个实施问题，而不是协议本身。我遇到的一些解决方案涉及将客户端配置为在未通过 SSL/TLS 发生连接时发出通知或完全断开连接。是否有一种正确的方法来实现 STARTTLS 以便 MITM 是不可能的（而不是在它发生时对其做出反应，如果有意义的话）以及会在哪里发生？这些修复程序是打算覆盖服务器到服务器的连接还是只是客户端到服务器的连接？我还想更多地了解假证书的问题，这种弱点是如何可能的，以及如何通过实施或其他方式解决它。
我最感兴趣的是服务器到服务器之间的安全性，因为服务器到客户端似乎不是一个问题，并且已经被大多数 ESP 解决了。有没有更好的 STARTTLS 替代方案？正如我所提到的，我对这一切都不熟悉，我需要对其中大部分内容进行全面指导，包括如何实施/配置。如果没有人能在这里提供，就学习资源而言，我会很感激任何正确方向的观点。
另一方面......我也有兴趣了解实际的攻击/利用，我想知道上面提到的 MITM（服务器到服务器）类型是否可以针对特定连接（目标电子邮件地址？）或者更类似于抓住路过的任何东西。
我们不赞成在我们的网站上支持 TLS 1.0 和 1.1，因为它们不再被认为是安全的。
我们如何查看受此更改影响的访问者百分比？（即那些不支持 TLS 1.2 的访问者。）
我们使用带有 IIS8 的 Windows Server 2012 R2。
在尝试设置 openvpn 时，我在网站上偶然发现了这个技巧。它说您可以限制密码列表，以防止降级攻击。我在有 2 台计算机的局域网中测试它，两台计算机都运行带有 OpenVPN 2.3.2 的 kubuntu 14.04。
在 openvpn 服务器上的 server.conf 中，我插入了这一行
tls-cipher TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256:TLS-ECDHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256
通过执行openvpn --show-tls和比较输出，我确信上面一行中的每个密码都是我的 openvpn 版本（在服务器和客户端上）知道的。
但是当我随后启动 openvpnserver 和客户端时，服务器给了我以下输出
Fri Sep 25 12:31:59 2015 "THECLIENTSIP":38749 TLS: Initial packet from [AF_INET]"THECLIENTSIP":38749, sid=d9c33d37 653b2f0e
Fri Sep 25 12:32:00 2015 "THECLIENTSIP":38749 TLS_ERROR: BIO read tls_read_plaintext error: error:1408A0C1:SSL routines:SSL3_GET_CLIENT_HELLO:no shared cipher
Fri Sep 25 12:32:00 2015 "THECLIENTSIP":38749 TLS Error: TLS object -> incoming plaintext read error
Fri Sep 25 12:32:00 2015 "THECLIENTSIP":38749 TLS …
TLS 服务器正在做一些我不明白的事情。
客户端现在确认，开始发送数据。但是服务器 ACK 会发送一个“加密警报”，然后 FIN 发送出去。
这是在换出证书后发生的。SSL 握手中提供的证书是新密钥。
线索，有人吗？