必须禁用TLS 1.0和TLS 1.1，仅支持TLSv1.2与TLSv1.3；因其存在POODLE、BEAST等不可修复漏洞，不支持前向保密和AEAD加密，且RFC 8996已正式弃用，主流环境与合规标准（PCI DSS、等保2.0等）均强制要求。
直接限制TLS版本范围，是筑牢微服务节点间通信防线最基础也最关键的一步。它不依赖外部组件，从协议层切断低版本漏洞利用路径，让中间人攻击、降级攻击失去落脚点。
明确禁用已淘汰的TLS版本
RFC 8996 已正式弃用 TLS 1.0 和 TLS 1.1，它们存在已知的加密弱点（如POODLE、BEAST），且无法支持现代密钥交换机制。所有微服务节点——无论是网关、服务网格代理（如Envoy）、还是后端业务服务——都必须显式禁用这两个版本。
- Envoy中，在
tls_context配置里设置：min_tls_version: TLSv1_2，不设max_tls_version或设为TLSv1_3 - .NET Framework应用避免硬编码
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls | SecurityProtocolType.Tls11，应让Schannel由系统自动协商 - 阿里云SLB、WAF、CDN等产品在控制台“TLS协议版本”设置中，仅勾选TLSv1.2和TLSv1.3
优先启用TLS 1.3并设定合理兼容边界
TLS 1.3大幅简化握手流程、移除不安全特性（如重协商、静态RSA密钥交换），并强制前向保密。但它对客户端运行环境有要求：Windows 10需.NET Framework 4.6.2+，Linux需OpenSSL 1.1.1+。
- 若服务面向内部可控环境（如K8s集群内Pod通信），可将
max_tls_version严格限定为TLSv1_3 - 若需对接较旧的第三方系统（如部分嵌入式设备或遗留Java 7客户端），则保留TLSv1.2作为最低版本，但禁止回退到1.1及以下
- Go语言服务使用
crypto/tls时，通过Config.MinVersion = tls.VersionTLS12实现版本下限控制
配合加密套件白名单强化协议有效性
仅限制版本不够，还需约束使用的加密算法组合。例如，允许TLSv1.2但启用RC4-SHA套件，等同于形同虚设。
- Envoy中指定
cipher_suites，推荐值如：["ECDHE-ECDSA-AES256-GCM-SHA384", "ECDHE-RSA-AES256-GCM-SHA384"] - 禁用所有含
NULL、EXPORT、DES、MD5、RC4、SHA1的套件 - 在Spring Cloud Gateway或Nginx等反向代理层同步配置相同套件策略，避免网关成为弱协议入口
建立版本策略的自动化验证机制
人工检查配置易遗漏，尤其在多环境、多实例场景下。需将TLS版本策略纳入CI/CD与运行时巡检闭环。
- 部署前用
openssl s_client -connect host:port -tls1_2和-tls1_3分别测试连通性 - 用
nmap --script ssl-enum-ciphers -p 443 host扫描实际启用的协议与套件 - 在服务启动时注入健康检查端点，返回当前监听的TLS最小/最大版本，供Prometheus采集告警
