Todo o tráfego LDAP está sendo enviado no TLSv1.1 e não no TLSv1.2

Question

Eu tenho um servidor kvm, host Centos 6.6 com 6,6 convidados. Nós executamos um aplicativo web baseado em php que usa autenticação LDAP para nossos clientes. Acabamos de mover um cliente para essa configuração e eles estão relatando que todo o tráfego do ldap está sendo enviado com o TLS v1.1 e não com o TLS v1.2 como era antes. Eu verifiquei que as versões do OpenSSL e do OpenLDAP são as mesmas entre a configuração antiga e a nova. Eu procurei por todos os lugares e pareço achar o motivo. Os vms são todos em ips privados e compartilham o ip público através de regras NAT e diretivas upstream Nginx.

Alguém tem uma ideia de por que o tráfego seria de repente v1.1?

As versões do OpenSSL vinculadas:

• host: libssl.so.10 => /usr/lib64/libssl.so.10
• convidado: libssl.so.10 => /usr/lib64/libssl.so.10
• Nginx: built with OpenSSL 1.0.1e-fips

Answer 1

A resposta no nosso caso foi forçar o php a usar o tls v1.2 no arquivo php.ini :

crypto_method = STREAM_CRYPTO_METHOD_TLSv1_2_SERVER