我正在寻找Traefik中SSL/TLS的推荐配置。我已经设置了minVersion = "VersionTLS12"以避免较弱的旧版本，并在Go中找到了支持的密码。根据SSLLabs的建议进行交叉检查，我想出了以下顺序(顺序很重要(：
cipherSuites = [
"TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384",
"TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256",
"TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384",
"TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256",
"TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256",
"TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA",
"TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA",
"TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256",
"TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA",
"TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA"
]
[更新] 后来与 Mozilla 的 SSL 配置生成器进行了交叉检查，删除了 SHA-1 并使用建议的顺序：
cipherSuites = [
"TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384",
"TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384",
"TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305",
"TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305",
"TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256",
"TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256",
"TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256",
"TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256"
]
这有意义吗？我想避免弱密码，但为了兼容，请包含尽可能多的强密码。
您可以使用此页面生成您的 traefik 配置： https://ssl-config.mozilla.org/#server=traefik&server-version=1.7.12&config=intermediate
# generated 2019-07-17, https://ssl-config.mozilla.org/#server=traefik&server-version=1.7.12&config=intermediate
defaultEntryPoints = ["http", "https"]
[entryPoints]
[entryPoints.http]
address = ":80"
[entryPoints.http.redirect]
entryPoint = "https"
[entryPoints.https]
address = ":443"
[entryPoints.https.tls]
minVersion = "VersionTLS12"
cipherSuites = [
"TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384",
"TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384",
"TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256",
"TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256",
"TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256",
"TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256",
"TLS_DHE_RSA_WITH_AES_256_GCM_SHA384",
"TLS_DHE_RSA_WITH_AES_128_GCM_SHA256"
]
[[entryPoints.https.tls.certificates]]
certFile = "/path/to/signed_cert_plus_intermediates"
keyFile = "/path/to/private_key"
编辑：如下面链接的问题中所述，配置生成器已修复。
我在研究 Traefik 的密码套件时发现了这个问题。因此，为了将来参考，以及尝试过生成器但遇到问题的人：
我找到了Mozilla的ssl-config页面，Rui Martins也提到了它。这工作正常，除了最后四个条目。
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
未被 Traefik 识别为有效的密码套件。
我检查了Go文档，发现那里也没有提到密码套件。然而，提到了相对接近的替代方案：https://godoc.org/crypto/tls#pkg-constants
所以我按如下方式替换了这些值：
+-----------------------------------------------+----------------------------------------+
| Old Value | New Value |
+-----------------------------------------------+----------------------------------------+
| TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 | TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305 |
+-----------------------------------------------+----------------------------------------+
| TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305 |
+-----------------------------------------------+----------------------------------------+
| TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 | TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
+-----------------------------------------------+----------------------------------------+
| TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 | TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
+-----------------------------------------------+----------------------------------------+
请注意前两个条目的已删除_SHA256，以及后两个条目的添加EC。
这工作正常，但不是核心问题的解决方案。由于我在密码套件方面没有太多知识或经验，我已经向Mozilla提交了一份关于他们为Traefik生成ssl配置的错误报告。( https://github.com/mozilla/ssl-config-generator/issues/52 (
看起来不错。我正在运行与您的更新中相同的配置，根据 SSL 实验室测试，一切看起来都安全且兼容。
更新 05-07-19：
根据SSL实验室的说法，CBC密码现在也很弱。您可以删除这些内容，但如果您的证书是使用 RSA 签名的，您将无法在装有 Windows 7 的 IE 11 上查看您的网站。我使用上面的当前密码(没有CBC(与ECDSA签署了我的证书，以使其在IE 11 Windows 7上运行。