Elixir项目中的TLS 1.3中间件兼容性问题解析

问题背景

在Elixir项目中使用mix local.hex命令安装Hex包管理器时，可能会遇到TLS 1.3协议与中间件不兼容的问题。这个问题主要出现在较旧的Ubuntu系统（如16.04版本）上，当使用Erlang/OTP 27和Elixir 1.18.2组合时尤为明显。

错误现象

执行mix local.hex --force --if-missing命令时，系统会抛出TLS连接错误，具体表现为：

TLS client: In state hello_retry_middlebox_assert... generated CLIENT ALERT: Fatal - Unexpected Message

错误表明客户端在TLS握手过程中收到了意外的消息，导致连接失败。

技术分析

这个问题源于Erlang/OTP的SSL/TLS实现与某些网络中间件（如安全设备、代理等）之间的兼容性问题。具体来说：

1. TLS 1.3协议变更：TLS 1.3对握手过程进行了重大修改，移除了ChangeCipherSpec消息等传统元素。

2. 中间件兼容性：某些网络中间件设备会检查并期望看到传统的TLS握手消息，当这些消息缺失时会导致连接问题。

3. Erlang实现：Erlang/OTP 27默认启用了TLS 1.3支持，但在某些网络环境下会触发中间件兼容性问题。

解决方案

临时解决方法

1. 使用替代安装命令：

mix archive.install github hexpm/hex branch latest

2. 对于rebar3的安装问题，目前还没有直接的替代命令，需要先解决TLS问题。

根本解决方案

在Erlang/OTP中可以通过设置middlebox_comp_mode参数来解决此问题：

:ssl.connect(~c"builds.hex.pm", 443, cacerts: :public_key.cacerts_get, middlebox_comp_mode: false)

这个参数控制是否启用中间件兼容模式，设置为false可以避免TLS 1.3握手过程中的兼容性问题。

深入理解

当middlebox_comp_mode设置为true时（默认值），Erlang的TLS实现会发送额外的ChangeCipherSpec消息以兼容旧设备。但在某些情况下，这种兼容性处理反而会导致问题。设置为false则遵循标准的TLS 1.3协议，不发送这些兼容性消息。

最佳实践建议

1. 对于CI/CD环境，建议升级操作系统到较新版本，避免使用Ubuntu 16.04等老旧系统。

2. 如果无法升级系统，可以考虑在Elixir项目中全局配置SSL选项，确保所有HTTP请求都使用正确的TLS设置。

3. 对于企业环境中的安全设备/代理设备，建议更新到支持标准TLS 1.3的版本。

总结

Elixir生态系统中使用TLS 1.3时可能会遇到中间件兼容性问题，这主要是由于协议变更和设备支持不完善导致的。通过理解问题的本质和掌握正确的配置方法，开发者可以有效地解决这类连接问题，确保开发流程的顺畅进行。