Wow, das war ein Idiot.
Es scheint ein Problem mit OpenSSL 1.0.1 zu geben, bei dem der Versuch, bei einigen Servern mit TLS1.1 (oder 1.2 ???) automatisch zu verhandeln (Bearbeiten: BigIP-Server, auf denen Firmware <10.2.4 ausgeführt wird), dazu führt, dass diese Server die Verbindung trennen und lehnen Sie die Anfrage ab. Sehen:
https://bugs.launchpad.net/ubuntu/+source/openssl/+bug/965371
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=665452
Ich versuche, eine Verbindung zum Kreditkarten-Gateway "Payflow Pro" von Paypal herzustellen, und Paypal war ursprünglich einer der Haupttäter auf der Liste.
Laut dem Bug-Ticket heißt es, es sei in 1.0.1b für Paypal "behoben", aber ich habe 1.0.1c-3 ausgeführt und habe immer noch das Problem. Ich weiß nicht, ob das bedeutet, dass es behoben ist, www.paypal.comaber nicht payflowpro.paypal.comoder was.
Ihr Feedback $ENV = 3an uns Abhilfe: Die Einstellung für die Erzwingung von SSL3 scheint das Problem zumindest für Crypt :: SSLeay zu beheben .
Vermutlich funktioniert das, weil es nicht versucht, TLS1.1 auszuhandeln, und nur SSL3 verwendet.
Beim Testen mit openssl s_client funktioniert es mit den Optionen -ssl3, -tls1und -no_tls1meiner Meinung nach muss es ein Verhandlungsproblem sein.
Jedenfalls ist das zumindest ein Workaround.
Das eigentliche Problem wird durch einen Fehler in der Firmware von F5-BigIP-Lastverteilern mit Firmware unter 10.2.4 verursacht. Dies führt dazu, dass TLS 1.1- oder 1.2-Verbindungen auf lange ClientHello-Anforderungen nicht ordnungsgemäß reagieren und daher hängen bleiben.
Die eigentliche Lösung besteht darin, die Firmware des BigIP Load Balancer auf> = 10.2.4 zu aktualisieren.
Natürlich hat Paypal / Payflow OpenSSL dafür verantwortlich gemacht ...