F5 负载均衡器拒绝 SHA256 加密算法密码套件？

Question

我正在调查两个端点通过 TLSv1.2 进行通信的问题，目标是 F5 负载平衡器。在客户端服务器握手期间，客户端发送了一组密码套件，F5 服务器从中选择了以下密码来启动通信：

Cipher Suite: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (0xc028)

客户端第二次发起握手时，F5 拒绝了密码套件，在检查密码套件时他们没有 SHA384 密码：

Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 (0xc023)
Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027)
Cipher Suite: TLS_RSA_WITH_AES_128_CBC_SHA256 (0x003c)
Cipher Suite: TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256 (0xc025)
Cipher Suite: TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256 (0xc029)
Cipher Suite: TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 (0x0067)
Cipher Suite: TLS_DHE_DSS_WITH_AES_128_CBC_SHA256 (0x0040)
Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009)
Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013)
Cipher Suite: TLS_RSA_WITH_AES_128_CBC_SHA (0x002f)
Cipher Suite: TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA (0xc004)
Cipher Suite: TLS_ECDH_RSA_WITH_AES_128_CBC_SHA (0xc00e)
Cipher Suite: TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x0033)
Cipher Suite: TLS_DHE_DSS_WITH_AES_128_CBC_SHA (0x0032)
Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02b)
Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)
Cipher Suite: TLS_RSA_WITH_AES_128_GCM_SHA256 (0x009c)
Cipher Suite: TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02d)
Cipher Suite: TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256 (0xc031)
Cipher Suite: TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 (0x009e)
Cipher Suite: TLS_DHE_DSS_WITH_AES_128_GCM_SHA256 (0x00a2)
Cipher Suite: TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc008)
Cipher Suite: TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (0xc012)
Cipher Suite: TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a)
Cipher Suite: TLS_ECDH_ECDSA_WITH_3DES_EDE_CBC_SHA (0xc003)
Cipher Suite: TLS_ECDH_RSA_WITH_3DES_EDE_CBC_SHA (0xc00d)
Cipher Suite: TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA (0x0016)
Cipher Suite: TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA (0x0013)
Cipher Suite: TLS_EMPTY_RENEGOTIATION_INFO_SCSV (0x00ff)

我是F5负载均衡器的新手，想了解为什么F5不选择任何SHA256加密密码套件。这是在哪里指定的？

Answer 1

初学者可以按照以下步骤操作：

检查您的 F5 BIG-IP 版本，然后阅读 K13163 以了解此版本支持哪些密码套件（如果您的版本不在本文档中，请遵循 links）。这是了解您的客户端和您的服务器是否有机会成功握手所必需的。
转到 K8802 并按照 link 配置 SSL 配置文件的密码强度 为您的 F5 BIG-IP 版本。这将回答您关于指定位置的问题。
如果您仍然无法获得正确的设置，您需要阅读 K15292 以了解如何调试握手问题（需要一些 SSL 知识）。

Answer 2

我通过使用下面的命令从为该配置文件配置的密码字符串中列出支持的密码来弄清楚

openssl ciphers Cipher_string

并且收到的密码套件中没有一个是 BIGIP 配置为接受的。

F5 负载均衡器拒绝 SHA256 加密算法密码套件？

F5 load balancer rejects a SHA256 encryption algorithm cipher suite?

security

ssl

sha

f5

tls1.2