TLS 配置基线：协议、套件与验证

对外服务应禁用 SSLv3 与 TLS 1.0/1.1，优先 TLS 1.2 及以上，停用弱套件与短密钥；启用 HSTS，并定期做配置核查与到期证书巡检。

等保与合规速查安全更新于 2026-10-12

Nginx 参考配置

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
add_header Strict-Transport-Security "max-age=31536000" always;

核查命令

openssl s_client -connect demo.example.com:443 -servername demo.example.com </dev/null 2>/dev/null | grep -E "Protocol|Cipher"

易错点

兼容老客户端放开 TLS 1.0：应评估业务面并设置收口计划
只改 Nginx 忽略后端：内部链路与数据库连接同样需要基线

数据来源与参考

RFC 8446（TLS 1.3）
OWASP TLS Cheat Sheet

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌