旧版IE（IE8–10）访问启用现代TLS的Apache网站白屏，根本原因是TLS握手失败或加密套件不匹配导致连接中断，浏览器未收到HTML；解决关键在于精准适配：禁用SSLv2/v3但保留TLS 1.0/1.1，选用IE兼容的加密套件（如ECDHE-RSA-AES128-SHA），关闭OCSP Stapling并确保完整证书链。
旧版 ie（特别是 ie8–10）访问启用现代 tls 配置的 apache 网站时出现白屏，根本原因不是页面没加载，而是 tls 握手失败或加密套件不匹配，导致连接直接中断——浏览器连 html 都没收到，自然一片空白。解决的关键不是“兼容所有旧版”，而是精准识别并绕过协议断层点。
检查并禁用不支持的 TLS 协议版本
IE8 仅支持 SSLv3/TLS 1.0，IE9–10 支持 TLS 1.0/1.1，但默认不支持 TLS 1.2（需系统补丁+注册表开启）；IE11 才原生稳定支持 TLS 1.2。若 Apache 强制只启用 TLS 1.2+，这些旧 IE 就会握手失败。
- 在 httpd.conf 或虚拟主机配置中，明确禁用高危旧协议，但保留最低兼容层： SSLProtocol all -SSLv2 -SSLv3 -TLSv1 → 这样仍允许 TLSv1.1，可覆盖 IE10（未打补丁）
- 如必须支持 IE9/10 且无法升级系统，可临时放宽为：
SSLProtocol all -SSLv2 -SSLv3（即保留 TLSv1.0/TLSv1.1） - 切勿启用 TLSv1.3 单独运行——IE 全系均不支持，会导致握手静默失败
精简并匹配 IE 支持的加密套件
即使协议版本对得上，若服务器提供的加密套件（CipherSuite）超出 IE 能力范围（如含 ECDHE-ECDSA、CHACHA20、AES-GCM），握手也会卡在 ServerHello 阶段，表现为“安全连接失败”或白屏。
- 使用 Mozilla SSL Configuration Generator（ssl-config.mozilla.org）选择 “Intermediate” 级别，它生成的套件已兼顾 TLS 1.2 兼容性与 IE11 前向支持
- 关键配置示例（适用于 Apache 2.4.8+）：
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA - 避免包含 AES256-GCM-SHA384 或 CHACHA20-POLY1305 等 IE 不识别的组合
关闭 OCSP Stapling 和严格证书链校验
旧版 IE 对 OCSP Stapling 响应解析不稳定，尤其在企业内网或代理环境下易触发证书验证失败；同时，若中间证书未完整下发，IE 无法像 Chrome 那样自动补全，直接拒绝连接。
- 在 SSL 配置块中关闭 OCSP Stapling：
SSLUseStapling off - 确保 SSLCertificateChainFile 指向完整中间证书链（PEM 格式拼接），或改用 SSLCACertificatePath 并执行 c_rehash
- 用 openssl s_client -connect yoursite.com:443 -servername yoursite.com 验证输出中是否包含全部证书（从 server cert 到 root CA）
配合 User-Agent 主动降级（可选）
若业务必须支持 IE8–9 且无法升级客户端，可在 Apache 中识别 UA 并强制回落到 HTTP/1.1 + TLS 1.0（仅限内网或低风险场景）：
- 启用 mod_rewrite 和 mod_headers
- 添加规则：
RewriteCond %{HTTP_USER_AGENT} "MSIE [6-9]|Trident.*?;.*?rv:11" [NC]
RewriteRule ^(.*)$ https://legacy.yoursite.com$1 [R=302,L] - 为 legacy 子域单独配置宽松 TLS 参数，与主站隔离
