nginx不支持ECDHE-ECDSA-AES128 128-GCM-GCM 256密码套件

Question

我有一个设备正在尝试连接从Wireshark捕获的以下Client Hello：

它似乎是它所支持的唯一的密码套件是ECDHE-ECDSA-AES128-GCM-SHA256，因此我试图用nginx来启用它。

events {

}

http {
    server {
        listen 443 ssl;
        ssl_certificate /etc/nginx/certs/nginx.crt;
        ssl_certificate_key /etc/nginx/certs/nginx.key;
        server_name xxx.yyy.zzz;
        ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256';
    }
}

在使用该配置运行nginx时，不会出现错误：

$ docker run -p 443:443 -v (pwd):/etc/nginx/certs -v (pwd)/nginx.conf:/etc/nginx/nginx.conf nginx

但是，支持的密码列表返回空值，并使用sslscan：

$ sslscan localhost
Version: 1.11.12-static
OpenSSL 1.0.2f  28 Jan 2016

ERROR: Could not open a connection to host localhost (::1) on port 443.
Connected to 127.0.0.1

Testing SSL server localhost on port 443 using SNI name localhost

  TLS Fallback SCSV:
Server supports TLS Fallback SCSV

  TLS renegotiation:
Session renegotiation not supported

  TLS Compression:
Compression disabled

  Heartbleed:
TLS 1.2 not vulnerable to heartbleed
TLS 1.1 not vulnerable to heartbleed
TLS 1.0 not vulnerable to heartbleed

  Supported Server Cipher(s):
$

我不是行动组的人，所以我不熟悉服务器的设置。我只需要让这个IoT设备连接到我的服务器。

那么，如何使用nginx启用ECDHE-ECDSA-AES128-GCM-SHA256密码套件呢？

Answer 1

您可以使用以下方法查看可用的ssl_ciphers：

openssl ciphers

为了获得更“友好的”输出，尝试：

openssl ciphers | egrep --color 'ECDHE-ECDSA-AES128-GCM-SHA256'

以检查您想要的密码是否可用于nginx。