iLO 2/3 y ERR_SSL_VERSION_OR_CIPHER_MISMATCH: abrir la consola desde un navegador moderno

En corto

Chrome y Edge ya no negocian TLS 1.0/1.1 y no hay flag que lo devuelva. iLO 2 (TLS 1.0) e iLO 3 (TLS 1.1 como máximo) nunca van a subir a TLS 1.2. Salidas que funcionan hoy:

1. Firefox, en un perfil aparte: about:config → security.tls.version.enable-deprecated = true.
2. Edge en modo Internet Explorer (Windows).
3. SSH al iLO para lo que no necesite la UI, y de paso forzar AES:

1
2

ssh -o HostKeyAlgorithms=+ssh-rsa -o KexAlgorithms=+diffie-hellman-group14-sha1 -c aes256-cbc Administrator@<ilo-ip>
set /map1/config1 oemhp_enforce_aes=yes

Por qué pasa

HPE lo dejó por escrito: TLS 1.2 no está soportado en iLO 3 y no se va a añadir porque los G7 están fuera de soporte. iLO 2 (G6 y anteriores) está peor: TLS 1.0 y nada más.

Del lado del navegador:

• Chrome y Edge quitaron TLS 1.0/1.1 en 2020 (Chrome 84) y la política SSLVersionMin que permitía reactivarlos en 2022 (Chrome 98). El resultado con un iLO viejo es ERR_SSL_VERSION_OR_CIPHER_MISMATCH.
• Firefox los desactivó en la 78 (2020), pero dejó la preferencia. Desde la 93 también apaga 3DES, salvo que TLS deprecado esté habilitado. RC4 desapareció en la 44 (2016) y no vuelve. El error típico es SSL_ERROR_UNSUPPORTED_VERSION o SSL_ERROR_NO_CYPHER_OVERLAP.

El bug para eliminar esas preferencias de Firefox sigue abierto, así que hoy (septiembre de 2026) esta vía sigue funcionando.

Opción 1: Firefox con TLS deprecado, en un perfil aparte

No bajes la seguridad de tu navegador de diario. Crea un perfil solo para management:

1. about:profiles → Create a New Profile → nómbralo ilo → Launch profile in new browser.
2. En ese perfil, about:config → busca security.tls.version.enable-deprecated → true.
3. Abre https://<ilo-ip>/ y acepta el certificado autofirmado.
4. Si sigue sin negociar, security.tls.version.min → 1 (TLS 1.0, iLO 2) o 2 (TLS 1.1, iLO 3).

Cuando Firefox choca con un sitio TLS 1.0, la página de error trae el botón Enable TLS 1.0 and 1.1, que cambia la misma preferencia. Las recetas viejas tocaban cuatro prefs (fallback-limit, min, max, enable-deprecated); en Firefox actual con enable-deprecated basta y min es el respaldo.

Para lanzar ese perfil después:

1

firefox -P ilo --no-remote

Opción 2: Edge en modo Internet Explorer

Solo Windows. El modo IE usa el motor Trident y el Schannel del sistema, que sí conserva TLS 1.0/1.1.

1. edge://settings/defaultBrowser → Permitir que los sitios se vuelvan a cargar en modo Internet Explorer → Permitir → reinicia Edge.
2. Abre la URL del iLO → menú ⋯ → Volver a cargar en modo Internet Explorer.
3. Edge recuerda la página en modo IE 30 días; márcala para que no lo olvide.

En Windows 11 24H2 y posteriores TLS 1.0/1.1 vienen apagados también en Schannel: si el modo IE tampoco entra, actívalos en Opciones de Internet → Opciones avanzadas → Usar TLS 1.0 / 1.1 mientras trabajas con el iLO, y apágalos después.

Opción 3: desde el propio iLO por SSH

SSH al iLO sigue funcionando con cualquier OpenSSH si le pides los algoritmos viejos (detalle en SSH a equipos legacy):

1
2
3
4

ssh -o HostKeyAlgorithms=+ssh-rsa \
    -o KexAlgorithms=+diffie-hellman-group14-sha1 \
    -c aes256-cbc \
    Administrator@<ilo-ip>

Dentro, dos ajustes que ayudan a la parte web:

1
2
3
4
5

# Ofrecer AES en vez de RC4/3DES (en la UI: Administration → Security → Encryption → Enforce AES/3DES Encryption)
set /map1/config1 oemhp_enforce_aes=yes

# Certificado nuevo (expirado, hostname cambiado): borra el actual; el iLO se reinicia y genera otro autofirmado
delete /map1/sslcert1

Forzar AES no arregla el error por sí solo: el problema es la versión de TLS, no solo el cifrado. Lo que consigue es que, con TLS 1.0/1.1 ya habilitado en el navegador, la sesión use AES-CBC y no dependas de 3DES (que Firefox solo permite en modo deprecado) ni de RC4 (que ya no existe en ningún navegador).

Y para power, virtual media, usuarios y firmware ni siquiera necesitas la UI: comandos CLI de iLO.

Lo que no sirve

• Actualizar el firmware de iLO 2/3 no cambia el tope de TLS; solo asegúrate de estar en la última (2.33 / 1.94.2) por el resto de fixes. Ver actualizar firmware por SSH.
• Flags de Chrome/Edge: no existen para TLS 1.0/1.1 desde 2022.
• Un Chrome viejo o una VM con Windows 7 e IE11 funciona, pero es peor que un perfil de Firefox: sistema sin parches y navegador sin parches para abrir una interfaz de management.

Si es un iLO 4

iLO 4 con firmware 2.x negocia TLS 1.2 y no tiene este problema. Si un iLO 4 te da ERR_SSL_VERSION_OR_CIPHER_MISMATCH, está en un firmware 1.x: actualízalo (2.8x es la rama final) y el navegador entra sin trucos.

Ver también

• SSH: “no matching host key type found” — los mismos iLO 2/3 también rompen el cliente SSH moderno.
• Navegar la web moderna en XP y 2003 — el caso inverso: sistema viejo contra web nueva.
• Referencia externa: HPe iLO 3 fails with ERR_SSL_VERSION_OR_CIPHER_MISMATCH.