问题说明
本文用于排查“ZSphere HTTPS 443 端口 RSA 密钥交换漏洞处理”类问题。
现象
- 安全扫描提示 443 HTTPS 支持 RSA 密钥交换。
- 目标要求禁用不合规 cipher suite。
适用环境
- 产品：ZVF
- 版本：4.x
- 组件：ZSphere
- 涉及对象：HTTPS/安全加固
- 场景：安全与证书类问题，需结合当前版本、部署形态、存储类型和操作时间线确认。
可能原因
- UI nginx 默认 SSL cipher 配置保留了兼容性较宽的套件。
- 安全基线要求与产品默认配置不一致。
- 修改后可能影响旧浏览器或旧客户端兼容性。
排查步骤
按顺序执行以下检查，并记录受影响对象、发生时间、完整报错和当前状态。
- 确认扫描项、目标端口、访问域名和当前 nginx SSL 配置。
- 修改前备份 /usr/local/zstack/zstack-ui 相关配置文件。
- 按安全基线调整 cipher suite 后重启 UI 服务。
- 用扫描工具复测，同时验证主流浏览器、API 客户端和迁移工具可正常连接。
处理方法
- 按当前安全基线调整 UI 服务的 TLS 协议和 cipher suite 配置。
- 重启 UI 服务后，使用安全扫描工具和实际客户端完成复测。
验证方法
- 扫描结果不再命中目标 RSA 密钥交换漏洞项。
- 浏览器、API 客户端和迁移工具仍可通过预期地址正常连接。