Apache Traffic Server 中 OpenSSL 3.2+ 导致 HTTPS 连接失败问题分析

Apache Traffic Server (ATS) 是一款高性能、模块化的 HTTP 代理和缓存服务器。近期发现当 ATS 使用 OpenSSL 3.2 及以上版本时，会出现无法建立出站 HTTPS 连接的问题。本文将深入分析该问题的成因、影响范围以及解决方案。

问题现象

当 ATS 尝试建立出站 HTTPS 连接时，连接会失败。具体表现为 SocketManager::sendto() 函数返回 EINVAL (22) 错误码，原因是 ats_ip_size(dst) 返回了 0 值。

根本原因

经过分析，这个问题与 TCP Fast Open (TFO) 功能有关。在 ATS 的 SSL 网络连接实现中，当创建出站连接时，会尝试使用 BIO_fastopen 机制。然而，在 OpenSSL 3.2+ 环境下，这一机制存在问题：

1. 代码中检查了 f_tcp_fastopen 选项，但该选项默认未设置
2. 即使没有启用 TFO，代码仍会尝试使用 BIO_fastopen
3. 这导致在获取目标地址大小时返回 0，进而引发 EINVAL 错误

影响范围

该问题影响所有使用 OpenSSL 3.2 及以上版本的 ATS 部署环境，主要表现为：

• 无法建立出站 HTTPS 连接
• 影响反向代理、正向代理等需要建立出站 HTTPS 连接的功能
• 不影响入站连接处理

解决方案

目前有两种可行的解决方案：

临时解决方案

可以通过修改 SSLNetVConnection.cc 文件，在出站连接时直接使用标准 SSL_set_fd 而跳过 BIO_fastopen：

if (this->get_context() == NET_VCONNECTION_OUT) {
    SSL_set_fd(ssl, this->get_socket());
    
    #if !defined(BIO_SOCK_TFO)
    BIO *bio = BIO_new(const_cast<BIO_METHOD *>(BIO_s_fastopen()));
    // 其余代码...
    #endif
}

长期解决方案

更完整的修复应该包括：

1. 正确处理 TFO 选项检查
2. 在 TFO 不可用时回退到标准连接方式
3. 确保与不同 OpenSSL 版本的兼容性

技术背景

TCP Fast Open (TFO) 是一种减少 TCP 连接建立延迟的技术，它允许在 TCP 三次握手完成前就开始发送数据。OpenSSL 通过 BIO_fastopen 接口支持这一特性。然而，在不同 OpenSSL 版本中，这一功能的实现存在差异，导致了兼容性问题。

最佳实践建议

对于生产环境，建议：

1. 如果不需要 TFO 功能，可以完全禁用相关代码
2. 如果需要 TFO，确保系统内核和 OpenSSL 都正确支持该功能
3. 在升级 OpenSSL 版本时，充分测试 HTTPS 出站连接功能

总结

OpenSSL 3.2+ 引入的变化导致 ATS 的出站 HTTPS 连接功能出现问题，这提醒我们在使用网络加速技术时需要考虑不同版本的兼容性。开发团队正在积极解决这一问题，用户可以根据自身需求选择临时解决方案或等待官方修复。