Apache SSL兼容性问题核心在于中间件与Apache协商行为不匹配，需据JDK 6u45、IE6/8或嵌入式设备等场景，针对性配置SSLProtocol、SSLCipherSuite、SSLInsecureRenegotiation及证书结构，并禁用ALPN、OCSP Stapling等新特性。
Apache 的 SSL 兼容性问题，通常不是出在“配置本身是否正确”，而是出在**中间件与 Apache 协商行为的不匹配**上。比如老版本 Java（JDK 6u45 前）、某些 IoT 设备 SDK、遗留 ERP 系统集成模块、或自研网关/负载均衡器，在 TLS 握手、重协商、证书格式、密钥交换方式等环节有特殊要求。要真正兼容，需针对性调整协议、密码套件、重协商策略和证书结构。
确认中间件的具体限制类型
盲目开启旧算法风险高且无效。先定位瓶颈：
- 查 Apache 错误日志：搜索 “Re-negotiation requested but not allowed” → 指向重协商不兼容
- 抓包分析（如 Wireshark）：看 ClientHello 中 advertised protocol version 和 cipher suites 是否被 Apache 拒绝
- 中间件文档关键词：查找是否明确要求 TLS 1.0/1.1、RC4-SHA、3DES-EDE-CBC-SHA、no secure_renegotiation extension 或 RSA 1024-bit key
- 测试工具辅助：用
openssl s_client -connect example.com:443 -tls1_1 -cipher RC4-SHA模拟中间件行为
按典型中间件场景配置 SSLProtocol 和 SSLCipherSuite
这是影响兼容性的核心指令，必须放在 <VirtualHost *:443> 块内：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
兼容 JDK 6u45 及更早版本：
SSLProtocol all -SSLv2 -SSLv3 +TLSv1 +TLSv1.1SSLCipherSuite HIGH:MEDIUM:!aNULL:!MD5:!EXPORT:!LOW:!SEED:!CAMELLIA:!PSK:!SRP:!KRB5:RC4-SHA:3DES-EDE-CBC-SHASSLHonorCipherOrder on -
兼容 Windows XP + IE6/IE8（极老旧系统）：
同上协议，但需追加ECDHE-RSA-RC4-SHA（若 Apache ≥ 2.2.26）并确保私钥为 RSA 1024 或 2048 位（ECDSA 不支持） -
兼容部分嵌入式设备或定制固件（仅支持单次握手）：
避免触发重协商：禁用SSLVerifyClient require或客户端证书校验；关闭SSLStrictRequire
必要时启用 SSLInsecureRenegotiation
仅当确认中间件发起重协商但不带 secure_renegotiation 扩展时才启用：
- 在对应
<VirtualHost *:443>内添加：SSLInsecureRenegotiation on - 该指令不可写在
.htaccess中，也不支持off显式关闭（默认即关闭） - 启用后务必隔离该虚拟主机，避免暴露给公网浏览器用户
- 注意：这绕过 CVE-2009-3555 防护，仅用于无法升级的封闭内网环境
证书与密钥适配要点
中间件可能对证书结构敏感：
- 使用 RSA 私钥（非 ECDSA），长度建议 2048 位（1024 已不推荐，但部分老设备强制要求）
- 确保证书链完整：中间 CA 证书需与服务器证书拼接进
SSLCertificateChainFile或合并到SSLCertificateFile - 避免使用 ALPN、OCSP Stapling 等新特性（老中间件常解析失败），可临时关闭：
SSLUseStapling offSSLStrictSNIVHostCheck off（若存在 SNI 不兼容） - 国密中间件（如政务系统对接）需单独编译支持 SM2 的 Apache + wotrus_ssl 模块，普通 OpenSSL 无法识别国密证书
