Go TLS 最低版本配置后旧客户端无法连接怎么办

这类问题通常不是“Go 不支持旧客户端”，而是两端允许的 TLS 版本没有交集。例如服务端把 MinVersion 设为 TLS 1.2，而旧客户端最高只能发起 TLS 1.1，握手在证书校验之前就会失败。先把两端的版本区间列出来，再决定升级客户端或缩小兼容范围，排查会快很多。

如果旧客户端最高版本低于服务端的 MinVersion，连接必然无法通过版本协商。生产环境建议把 TLS 1.2 作为下限；只有确实存在无法升级的旧设备时，才为明确的入口做临时兼容，并设置回收时间。

先确认 MinVersion 管的是协议下界

tls.Config.MinVersion 不是“强制使用某个版本”，而是把允许范围的底部抬高；MaxVersion 则限制顶部。两端最终要在各自允许的范围内选出一个共同版本。当前 Go 的 crypto/tls 文档说明，默认最低版本是 TLS 1.2，最高版本使用实现支持的版本（当前为 TLS 1.3）；因此把字段留为零值，也不等于无条件接受所有旧协议。

用版本交集判断旧客户端是否被挡住

可以先写出一个不依赖具体设备名称的判断式：共同版本 = 客户端允许范围 ∩ 服务端允许范围。如果服务端是 [TLS 1.2, TLS 1.3]，而旧客户端只能提供 [TLS 1.0, TLS 1.1]，交集就是空集，继续改证书链没有意义。反过来，如果交集存在，失败原因就要转向证书信任、主机名、密码套件或 ALPN 等条件。

服务端明确设置安全下限时可以这样写：

package main

import "crypto/tls"

func serverTLSConfig() *tls.Config {
	return &tls.Config{
		// 只接受 TLS 1.2 及以上，避免把旧协议作为默认兼容面。
		MinVersion: tls.VersionTLS12,
		// MaxVersion 留为零值，跟随当前 Go 实现支持的最高版本。
		MaxVersion: 0,
	}
}

这里的配置只是版本边界，不会替你解决证书加载、客户端认证或应用层协议选择。若旧客户端确实只能到 TLS 1.1，优先升级它；不能升级时，也应把放宽配置限制在专用监听入口或明确的设备群，而不是修改所有服务。

把握手错误拆成版本问题还是其他问题

客户端握手阶段会根据 MinVersion 和 MaxVersion 形成可用版本集合；如果集合为空，标准库源码会返回 tls: no supported versions satisfy MinVersion and MaxVersion。对端拒绝时，日志中也可能出现 remote error: tls: protocol version not supported。而单独看到 tls: handshake failure，只能说明协商没有完成，不能直接证明是版本下限导致的。

在连接成功后，记录实际结果比猜测更可靠：

package main

import (
	"crypto/tls"
	"fmt"
)

func reportTLSVersion(conn *tls.Conn) {
	state := conn.ConnectionState()
	// Version 是本次连接真正协商出的版本，不是配置文件中的下限。
	fmt.Println("协商版本:", tls.VersionName(state.Version))
	// 只输出套件名称，便于把版本故障与套件故障分开看。
	fmt.Println("密码套件:", tls.CipherSuiteName(state.CipherSuite))
}

若代码在服务端，结合 ClientHelloInfo.SupportedVersions 记录客户端声明的能力；若代码在客户端，先确认 ServerName 已设置且没有用 InsecureSkipVerify 掩盖证书问题。版本区间不为空但仍失败时，按证书链、主机名、密码套件、ALPN 的顺序继续查。

选择兼容策略并设置回收条件

最稳妥的处理顺序是：先确认旧客户端的真实最高版本，再升级客户端或中间代理；服务端维持 TLS 1.2 以上；只有业务上必须兼容且风险已经评估时，才对独立入口短期降低下限。每次放宽都要记录入口、设备范围、负责人和截止日期，并在日志里统计旧客户端的连接量，达到零或可接受阈值后恢复安全配置。

不要为了让连接成功而同时打开 InsecureSkipVerify、随意指定密码套件或关闭证书校验。那会把版本兼容问题和身份验证问题混在一起，且可能留下更大的安全缺口。

常见问题

MinVersion 设置为 TLS 1.2 后，TLS 1.3 客户端还能连接吗？

可以。只要服务端没有把 MaxVersion 设低于 TLS 1.3，TLS 1.3 仍在允许范围内，最终会在双方共同支持的版本中协商。

把 MinVersion 改成 TLS 1.0 就一定能救回旧客户端吗？

不一定。客户端还可能受密码套件、证书算法、SNI 或实现本身限制；降低版本也会扩大风险面，应先确认真实协商能力并限定入口。

为什么配置没改，升级 Go 后行为却变了？

零值配置依赖当前标准库默认策略，而 Go 版本可能调整默认安全边界。对兼容性敏感的服务应显式记录目标范围，并用代表性旧客户端做握手测试。