在启用了 SNI 的 nginx 服务器上， SSL 的安全性取决于最低的配置，如何解决？

[sNullp]

RT，比如在同一个 nginx 上有别人部署了支持 SSLv3 的网站（POODLE vulnerable），这样即便自己的网站的配置禁用了 SSLv3 可在 handshake 的时候浏览器还是可以以 SSLv3 连上去。

有解决办法吗？

[sNullp]

能让 nginx 在发现使用的 cipher 不是目前 server 允许的后断开连接吗？

[sNullp]

hmmm，我也搞不清楚这是个 bug 还是个 feature 了。
SSL的配置确实是 per host 的，而不是 per virtual host。。。

[sanddudu]

是 per virtual host ，不过得手动指定接受的协议

[sNullp]

@sanddudu 不，手动制定了无效。nginx会选取最松的directive。

[futursolo]

在服务器上对每个连入的SSL链接搞POODLE攻击，能成功就reset。

[sNullp]

@futursolo 这个有点本末倒置。。因为只有TLS一下的协议会受poodle攻击，我就想只enable tls v1,1.1,1.2

[futursolo]

@sNullp
这个问题的前提是，你有没有修改每个虚拟主机配置文件的权力，如果能，那么Block了SSLv2和v3就行，如果不能，就要对连接进行检查。

[sNullp]

@futursolo 没有。检查连接的权力更没有。
我能修改的只有自己虚拟主机的配置文件。我只想要很直观的 per virtual host 的配置，可惜做不到。我觉得这是个bug。