Cloudfare SSL 配置求助

[jochenshi]

使用 cloudfare 的 DNS 配置了记录，并且开启了 Proxy 模式，将域名解析到腾讯的 vps ，也在 SSL 里面配置了源服务器证书，也配置到 vps 的 nginx 了
这个时候直接 https 访问 ip 是可以的 但是使用 cloudfare 的域名访问就提示：

SSL handshake failed Error code 525

请问这是为啥呢

listen 443 ssl;
ssl_certificate /home/user/cert/domain.pem;
ssl_certificate_key /home/user/cert/domain.key;

[renfei]

VPS 上的防火墙打开 443 端口了吗？？

[jochenshi]

@renfei 开了的，腾讯云自己的域名解析能解析过去，直接 IP 访问 443 也可以的

[renfei]

@jochenshi cloudflare 那边是 完全模式？完全（严格）模式？

[jochenshi]

@renfei 完全模式

[renfei]

如果是严格模式，还会校验证书的有效性，包括签发的 CA 、有效期、域名等信息，一个不对都不行，建议选 完全模式即可。

[jochenshi]

@renfei 就是完全模式，选的第三个

[renfei]

看下官方社区中的方案呢： https://community.cloudflare.com/t/community-tip-fixing-error-525-ssl-handshake-failed/44256
估计是 SNI 或 加密套件的事？

[ladypxy]

要在 CF 里打开 https 使用 cf 的证书啊

[bearice]

换个国外主机试试？国内的会阻断非备案域名的 ssl 连接。

[yaott2020]

@ladypxy 不要误导，开完全模式，cf 的自签证书和第三方认证的签名证书都可以

[renfei]

我就没开 SSL ，回源直接 http ，要是开 SSL ，光 https 加密我 CPU 直接就爆了

[ladypxy]

@yaott2020 误导啥？他这明显不是 CF 和源站之间通讯的问题。是从客户端到 CF 的问题。很大可能是他压根没在 CF 上开启 HTTPS

[renfei]

@ladypxy 这个报错是 CF 到源站的问题，如果是客户端到 CF 的问题，就看不到错误代码 Error code 525 了，压根就打不开

[jochenshi]

是 cloudfare 跟源站之间的
[Imgur]( )
@ladypxy
@renfei

[renfei]

@jochenshi 执行这个命令看下
curl -svo /dev/null https://www.example.com --connect-to ::192.0.2.0 2>&1
主要修改域名和 IP 地址为你源站的 IP

[momooc]

ssl 握手失败，从服务器上找原因吧

[momooc]

@momooc 重启 Nginx 了吗？

[jochenshi]

@renfei

[renfei]

@jochenshi unable to get local issuer certificate 无法获取本地发行者证书，这个证书的自签名的吗
再加个参数 -k 可以先忽略证书的校验，观测完整的握手过程
curl -k -svo /dev/null https://www.example.com --connect-to ::192.0.2.0

[eijnix]

我也一样，换成国外主机立马就好了