如何修复 etcd 集群“错误”tls：第一条记录看起来不像 TLS 握手“”答案

【问题标题】：How to fix etcd cluster "error "tls: first record does not look like a TLS handshake""如何修复 etcd 集群“错误”tls：第一条记录看起来不像 TLS 握手“”
【发布时间】：2019-06-07 03:28:12
【问题描述】：

我创建了一个三节点的etcd线索，配置和启动已经OK，但是当我检查/var/log/messages时，它显示

etcd: 拒绝来自“172.17.0.3:43192”的连接（错误“tls: first 记录看起来不像 TLS 握手", ServerName "")

我该如何解决？

我已经检查了 etcd 的健康状况：

member 48b0dff99d5c867e is healthy: got healthy result from https://172.17.0.9:2379
member 646dab89331aabab is healthy: got healthy result from https://172.17.0.8:2379
member b45603216bfac234 is healthy: got healthy result from https://172.17.0.10:2379

这显示OK，但是当我cat/var/log/messages时，它总是显示这个错误：

1 月 12 日 20:08:57 主 etcd：拒绝来自的连接 “172.17.0.3:43160”（错误“tls：第一条记录看起来不像 TLS 握手", 服务器名 "")
1 月 12 日 20:08:57 主 etcd：被拒绝来自“172.17.0.3:43162”的连接（错误“tls：超大记录收到长度为 21536", ServerName "")

【问题讨论】：

你还有这个问题吗？你有裸机上的 Kubernetes 吗？你在使用kubeadm 吗？你有什么版本的etcd？

标签： ssl kubernetes etcd

【解决方案1】：

从 http 切换到 https 进行对等通信时，我收到了 etcd 对等通信的此消息。显然，etcd 具有覆盖命令行选项的持久性对等信息，因此尽管有命令行选项，它仍继续使用 http 进行对等通信。

最后，由于这是一个测试集群，我 nuked /var/lib/etcd 并且新的 cli 配置占据了主导地位

【讨论】：

【解决方案2】：

对我有帮助

listen       443 ssl http2;
ssl on;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH';
ssl_prefer_server_ciphers on;

在 nginx 配置中

【讨论】：

【解决方案3】：

我方面没有解决方案可以完全帮助您解决问题，但我找到了几个链接，可以帮助您进行进一步的调查。仔细阅读它们，尝试解决方案，我希望你能解决问题。

Github question #9917：检查ETCDCTL_API变量，特别是确保--endpoints配置了https。
Runtime reconfiguration：尝试通过更新/删除/添加 etcs 成员来重新配置您的 etcd。
nginx ingress: check your nginx ingress annotations 如果你使用的是 nginx
google groups TLS handshake topic：查看这个话题，尤其是与VAULT_ADDR变量相关的cmets。我将从这里复制粘贴最后一条评论：

在了解了权限问题。

您问：“请确认您是否看到服务器错误消息在初始化 Vault 之前”经过进一步检查，我确实确定在初始化 Vault 之前没有发生错误。

问题最终与 VAULT_ADDR 无关，我们使用了值：“http://127.0.0.1:8200”

我编写了设置操作脚本，但似乎没有一切都在适当的权限下运行。起初我是使用“sudo”命令运行脚本，导致失败。我发现证书密钥的权限受到限制，我的用户无法访问该文件。那里可能还有其他权限问题。但是一旦我切换用户root，然后运行脚本，一切正常。

谢谢

【讨论】：