服务器TLS协议老旧浏览器拦截：服务器TLS协议老旧被浏览器

很多站长发现网站突然被现代浏览器提示“不安全”或“连接被拒绝”，查看错误详情常常是 ERR_SSL_VERSION_OR_CIPHER_MISMATCH。
这通常是因为服务器仍在使用过时的TLS 1.0或TLS 1.1协议，而Chrome、Edge等浏览器已默认不再支持。
本文面向零基础用户，手把手教你检查当前TLS版本并升级到安全的TLS 1.2/TLS 1.3，让网站重新被所有主流浏览器信任。

一、先确认服务器当前的TLS协议版本

在修改配置前，先通过一个简单命令查看你服务器当前支持哪些TLS版本。
登录SSH后执行（将 yourdomain.com 替换为你的域名）：

openssl s_client -connect yourdomain.com:443 -tls1_2
echo "---"
openssl s_client -connect yourdomain.com:443 -tls1_3

如果连接成功并显示服务器证书，说明该版本是开启的；
如果报错 SSL routines:ssl3_read_bytes:tlsv1 alert protocol version，则说明服务器不支持或禁用了该版本。重点检查TLS 1.0和TLS 1.1是否还存在，它们已被行业标记为不安全。

二、升级Nginx服务器的TLS配置

对于使用Nginx的用户，找到Nginx配置文件（通常位于 /etc/nginx/nginx.conf 或 /etc/nginx/sites-enabled/ 下的站点配置）。
用编辑器打开，在 server 块中找到或添加 ssl_protocols 指令：

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE+AESGCM:ECDHE+CHACHA20:DHE+AESGCM:!DHE:!aNULL:!MD5:!3DES';

关键说明：

• 关闭TLSv1和TLSv1.1：只用 TLSv1.2 TLSv1.3 即可。
• 如果还需要支持非常旧的操作系统（如Windows XP），可临时保留TLSv1.1，但不推荐长期保留。
• 保存文件后，测试配置：nginx -t，确认无语法错误后重载：systemctl reload nginx 或 service nginx reload。

三、Apache服务器的TLS配置方法

Apache用户则编辑 httpd.conf 或站点SSL配置（如 /etc/httpd/conf.d/ssl.conf），在 或全局区域找到 SSLProtocol 指令。
按如下方式修改：

SSLProtocol +TLSv1.2 +TLSv1.3
SSLCipherSuite HIGH:!aNULL:!MD5:!3DES
SSLHonorCipherOrder on

注意：

• +TLSv1.2 表示启用TLS 1.2，+TLSv1.3 同理。不要写成 -TLSv1 -TLSv1.1 这种形式，直接只列出需要的版本即可。
• 保存后测试配置：apachectl configtest，然后重载服务：systemctl reload httpd 或 service apache2 reload。

四、验证升级效果与常见问题排查

修改配置后，用以下两种方式验证：

1. 在线工具：访问 SSL Labs 输入你的域名，检测结果会列出支持的TLS版本和评级。目标是得到A级或更优。
2. 命令行：再次用 openssl s_client 连接 -tls1_0 应报错，而 -tls1_2 和 -tls1_3 应成功。

常见问题：

• 升级后部分老用户无法访问（如旧版Android、Windows 7的IE11等）。折中方案：保留TLS 1.0/1.1并严格限制密码套件，但安全等级会降低。建议在网站首页给予提示，引导用户更换浏览器。
• 使用了CDN或反向代理（Cloudflare、Nginx反代等）：你需要在CDN后台同样调整TLS最低版本。例如Cloudflare的“边缘证书”中可选择“仅TLS 1.2或更高”。
• 修改后网站打不开：检查配置文件语法并确认没有遗漏 ssl_certificate 和 ssl_certificate_key。执行 journalctl -xe 查看错误日志。

五、避坑总结：别忘了同时检查中间件

TLS协议升级不仅涉及Web服务器主配置，还常见于以下场景：

• 如果使用宝塔面板，在网站设置->SSL->“SSL协议”中直接勾选“TLS 1.2”和“TLS 1.3”。
• 如果使用Docker或容器化部署，需确认容器内Web服务的TLS设置，并确认负载均衡器是否同样更新。
• 升级后立即用手机和不同浏览器多测试几次，确保兼容性。

如果你在操作中遇到拦截报错，先按本文步骤确认当前配置，再逐步调整；
实在无法解决可回滚至备份配置，并查看服务器错误日志定位具体原因。