В соответствии с: ОБЪЯВЛЕНИЕ: Pound - обратный прокси и балансировщик нагрузки - v2.7d / Роберт Сегалл , было добавлено следующее улучшение:
- added "Disable PROTO" directives (fix for Poodle vulnerability)
Моя система:
[root@6svprx01 ~]# uname -a
Linux 6svprx01.XXX.org 2.6.32-504.el6.x86_64 #1 SMP Tue Sep 16 01:56:35 EDT 2014 x86_64 x86_64 x86_64 GNU/Linux
[root@6svprx01 ~]# rpm -q Pound
Pound-2.6-2.el6.x86_64
[root@6svprx01 ~]# grep Ciphers /etc/pound.cfg
Ciphers "ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:!SSLv2:RC4+RSA:+HIGH:+MEDIUM"
[root@6svprx01 ~]#
... для адресации POODLE SSLv3 я добавил !SSLv3 в Ciphers.
Однако при использовании Qualys SSL Labs - Projects / SSL Server Test чтобы проверить, я получаю Protocol or cipher suite mismatch в Handshake Simulation.
Есть ли способ решить эту проблему? БЕЗ перейти на Pound v2.7d (бета), а затем использовать новые директивы?
можно использовать goochjj / фунт на pcidss / v2.6 ветвь, которая является Pound 2.6, плюс исправления шифра и протокола, необходимые (изначально) для соответствия требованиям PCI, и как часть этого - директива об отключении SSL3.
# grep DisableSSL /etc/pound.cfg
DisableSSLv3
DisableSSLv2
#
* ОБНОВИТЬ *
DisableSSLv3 по-видимому unknown directive с использованием не исправленных Version 2.6, используйте -SSLv3:-SSLv2 Внутри Ciphers.
Ответ @ alexus выше отлично сработал для меня. Добавьте сюда несколько дополнительных примечаний на тот случай, если другие увидят эту страницу, как я. Похоже, что для этой конкретной комбинации проблем не так много хороших рекомендаций.
1) Причина исходной проблемы в том, что версия Pound без исправлений отключает все шифры SSLv3 при добавлении !SSLv3 к Ciphers. TLS в основном зависит от одних и тех же шифров и без них не будет работать.
2) Более старые версии GCC выдадут ошибку при попытке запустить ./configure на исправленной версии в ссылке @ alexus, поскольку он не распознает -Wno-unused-result флаг. Я удалил это вручную, и после этого все, кажется, работает нормально.
3) DisableSSLv3 директива входит в ListenHTTPs блокировать в pound.cfg (сразу после Ciphers директива)