在 Apache 2.4 中禁用 TLS 1.0

Question

我是一个非技术但能够阅读手册的网站所有者。我在 Debian 9.0 服务器上运行 Apache 2.4.10。我想禁用 TLS 1.0。我已经阅读了 SSLProtocol 指令的Apache 文档。

在我的虚拟主机文件中，我使用了以下指令：

SSLProtocol all -TLSv1 -SSLv3

即使在重新加载然后重新启动 Apache 之后，这也不起作用。然后我也向 ssl.conf 文件添加了相同的指令，只是为了确定，即使在重新加载和重新启动之后仍然没有运气。我还使用以下指令尝试了相同的操作：

SSLProtocol +TLSv1.1 +TLSv1.2

仍然没有运气。我进行了以下搜索只是为了查看我是否在配置文件中的其他地方使用了 SSLProtocol 指令，但同样没有运气：

grep -R 'SSLProtocol' .

我还检查了网站的 .htaccess 文件以确保我没有覆盖任何内容（尽管我不知道您可以在 .htaccess 文件中更改此设置）。有任何想法吗？感谢您的帮助！

Answer 1

在此“错误”的大量情况下，事实证明，如果您的服务器上安装了 letencrypt，则它的配置文件集协议将取代 ssl.conf 或 vhosts 的设置：

/etc/letsencrypt/options-ssl-apache.conf

错误 60739 - SSLProtocol 设置似乎无效

Answer 2

对于这个问题，这里有一个答案：

如何在 Apache 中禁用 TLS 1.1 和 1.2？

基本上，您必须在ssl.conf文件中禁用此协议。在 vhosts.conf 或等效文件中执行此操作将不起作用（尽管在那里设置此配置是正确的），因为 OpenSSL 中存在错误，如其中引用的答案之一所报告的。