https 协议访问,误用 http 端口,CONNECT_CR_SRVR_HELLO: wrong version number

作者:李佶澳  更新时间:2019-10-12 14:37:40 +0800

本篇目录

说明

在执行 ingress-nginx 的认证功能使用示例 中的操作时遇到的问题。

现象

测试 ingress-nginx 的 client cert 认证功能遇到的问题,提交了认证 ca 和 tls 证书后,使用 curl 访问时,提示 routines:CONNECT_CR_SRVR_HELLO:wrong version number。

ingres-nginx 使用 nodeport 的方式暴露,所以下面用到地址是 xxxxx:30933

$ curl -v  --cacert ca.crt -H "Host: auth-cert.echo.example" https://192.168.99.100:30933
* Rebuilt URL to: https://192.168.99.100:30933/
*   Trying 192.168.99.100...
* TCP_NODELAY set
* Connected to 192.168.99.100 (192.168.99.100) port 30933 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* successfully set certificate verify locations:
*   CAfile: ca.crt
  CApath: none
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* error:1400410B:SSL routines:CONNECT_CR_SRVR_HELLO:wrong version number
* stopped the pause stream!
* Closing connection 0
curl: (35) error:1400410B:SSL routines:CONNECT_CR_SRVR_HELLO:wrong version number

用 chrome 浏览器打开时,提示网站无法提供安全的连接:

SSL wrong version number

调查

在网上搜了好久没找到答案,一头雾水,直到突然看到下面的内容:

SSL wrong version number

难道是用错了端口???用了 80 端口?

赶紧查看一些,果然!30933 是 80 端口的映射端口:

$ kubectl -n ingress-nginx get svc -o wide
NAME            TYPE       CLUSTER-IP      EXTERNAL-IP   PORT(S)                      AGE   SELECTOR
ingress-nginx   NodePort   10.106.78.115   <none>        80:30933/TCP,443:30358/TCP   19h   app.kubernetes.io/name=ingress-nginx,app.kubernetes.io/part-of=ingress-nginx

解决

换成 443 端口映射的端口后,wrong version number 问题消失:

$ curl  --cacert ca.crt -H "Host: auth-cert.echo.example" https://192.168.99.100:30358/
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html

curl performs SSL certificate verification by default, using a "bundle"
 of Certificate Authority (CA) public keys (CA certs). If the default
 bundle file isn't adequate, you can specify an alternate file
 using the --cacert option.

但这时候出现了另一个问题,明明用 cacert 指定了证书,但是不生效,这和 mac 上的 curl 有关。

参考

  1. 李佶澳的博客
  2. error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure(35)
  3. ingress-nginx 的认证功能使用示例

站长微信(朋友圈有精华,一般不闲聊)

推荐阅读

Copyright @2011-2019 All rights reserved. 转载请添加原文连接,合作请加微信lijiaocn或者发送邮件: [email protected],备注网站合作

友情链接:  李佶澳的博客  小鸟笔记  软件手册  编程手册  运营手册  爱马影视  网络课程  奇技淫巧  课程文档  精选文章  发现知识星球  百度搜索 谷歌搜索