在 GKE 上的 nginx-ingress 中禁用 TLS 1.0 和 TLS 1.1

Question

我想從我的網站禁用 TLS 1.0 和 TLS 1.1。

該網站托管在谷歌雲平台Kubernetes引擎上。

我用這個 Nginx 入口https://cloud.google.com/community/tutorials/nginx-ingress-gke

對於 SSL 證書，我使用了本教程中的 cert-manager https://youtu.be/hoLUigg4V18

我不知道應該在哪里進行更改。 是否應該通過以下方式完成：

• 入口 YAML 文件
• 證書管理器
• GCP 上的負載均衡器

我嘗試在 GCP 上創建 SSL 策略，但我無法添加目標，因為它應該是 GCE 入口，而不是 Nginx（我必須使用 Z62E0B5B350C9E3D2C19A9 因為在 GCE4 中缺少所需的元數據） map 文件，但它們仍然處於啟用狀態。

Answer 1

似乎默認的 nginx-ingress 默認只使用 TLS 1.2 和 1.3，請查看有關Nginx Ingress的文檔。

您可以使用 openssl 進行驗證，如下所示：

要驗證是否禁用了 TLSv1.0，請運行以下命令：

echo|openssl s_client -servername  -connect :443 -tls1 2>&1 | grep -c 'ssl handshake failure'

要驗證是否禁用了 TLSv1.1，請運行以下命令：

echo|openssl s_client -servername  -connect :443 -tls1_1 2>&1 | grep -c 'ssl handshake failure'

返回大於 0 的 integer 表示禁用 TLSv1.0 或 TLSv1.1

通過 OpenSSL 驗證：啟用 TLSv1.2

echo|openssl s_client -servername  -connect :443 -tls1_2 2>&1 | grep -c 'ssl handshake failure'

返回 integer 為 0 表示啟用了 TLSv1.2

確定通過 Nmap 啟用了哪些 TLS 版本和密碼

您可以使用以下命令確定為每個主機名啟用了哪些 TLS 版本和密碼：

nmap -sV --script ssl-enum-ciphers -p 443 

另一個工具位於https://github.com/drwetter/testssl.sh 。