使用 SSL 时 Tomcat 超时

Question

我在使用 Tomcat 6 时遇到问题。由于某种原因，Tomcat 在使用 Chrome 或 Firefox 时没有回答 Client Hello SSL 消息（因此浏览器最终会超时），但它在 Internet Explorer 上运行良好。奇怪的是，这并不总是发生。这取决于运行 Tomcat 的机器（在某些机器上它可以工作，而在另一些机器上则不能）。

使用加壳嗅探器，我比较了不同的客户端问候消息，我能够将问题追溯到 0x0033 密码套件 (TLS_DHE_RSA_WITH_AES_128_CBC_SHA)。如果浏览器将其指定为可接受的密码套件，则服务器可能会挂起（取决于运行它的机器）。 Internet Explorer 并没有将其指定为可接受的密码套件，因此服务器可以正常工作，但 Chrome 和 Firefox 可以，因此问题出现了（实际上我认为服务器最终会回答 Client Hello 消息，但需要很长时间大约 99.99% 的时间浏览器超时）。

我有一个解决方法，就是在浏览器上禁用这个密码套件。我想我也可以禁用 Tomcat 上的密码套件，但我试图避免这种情况。我实际上是想找出为什么它会挂在首位。请注意，在出现问题的机器上，我并没有真正发现任何模式，只是它们都是 Windows 机器。

有什么想法吗？谢谢！

Answer 1

我可以建议的唯一想法 - 安装在这些 Windows 机器上的自定义加密软件，以某种方式注册它的一些密码套件的安全提供程序（例如，使用认可的库）。所以java调用这个密码套件的外部实现并由于某种原因挂在它上面。我自己从未遇到过这种情况，但曾经听过这样的故事。恐怕不是那么可能的想法。

否则这个密码套件看起来绝对正常，只是在 linux 上尝试过。