老客户端兼容处理
停用 TLS 1.0 与 1.1 或 3DES 套件之后，旧 Android、Windows 7 与嵌入式终端可能无法连接。合理路径是先盘点客户端分布，再为老设备提供独立入口与明确的迁移时间表，而不是为了个别设备把整体安全基线回退。协议版本的下线决策应以真实的协商统计为依据，而不是凭印象判断「应该没有人在用」。
基本信息
| 影响面 | 先统计在用的协议与套件分布，再决定下线节奏 |
|---|---|
| 过渡方案 | 用独立域名与端口承接老客户端，单独评估与监控 |
| 基线方向 | 遵循 RFC 8996 停用 TLS 1.0 与 1.1，并给出迁移计划 |
| 豁免管理 | 兼容性豁免要有时限、责任人与复核记录 |
| 验证手段 | 用 s_client 分版本探测实际协商结果 |
典型使用场景
- 下线旧协议前的客户端分布盘点
- 为老设备提供独立入口并单独监控异常
- 制定终端升级计划，明确 OS 与固件的更新窗口
- 排查「部分用户无法访问」：先看协议协商是否被拒
- 合规测评中的协议版本整改销项
探测与统计
探测与统计
# 分版本探测服务端仍支持的协议
openssl s_client -connect legacy.example.com:443 -tls1_2 -servername legacy.example.com </dev/null 2>&1 | grep -iE 'protocol|cipher'
openssl s_client -connect legacy.example.com:443 -tls1 -servername legacy.example.com </dev/null 2>&1 | head -5
# 在访问日志中按客户端特征统计老终端占比，作为下线决策依据过渡方案对比
| 方案 | 优点 | 风险 |
|---|---|---|
| 独立入口承接 | 主站基线不受影响 | 需额外监控与到期管理 |
| 全局回退协议版本 | 短期无人投诉 | 整体安全基线降级 |
| 强制升级客户端 | 彻底解决 | 影响面大，需业务配合 |
| 代理层终止加密 | 可控范围内过渡 | 需重新评估端到端安全边界 |
兼容性豁免应记录为有时限的例外，写明责任人与到期日，并在到期前复核。缺少到期管理的例外会变成长期方案，几年后没人说得清为什么还开着旧协议。
沟通要点：把「老终端数量、影响业务范围、预计解决时间」整理成清单同步给业务方，比单纯下发安全整改更有效；同时把独立入口的关闭日期提前告知，避免到期时再次引发争议。