mod_log_config仅能记录TLS握手成功后的会话级信息，如%{SSL_PROTOCOL}x、%{SSL_CIPHER}x等；无法记录ClientHello、失败原因等原始握手过程，需结合tcpdump、OpenSSL调试或专用TLS代理实现完整审计。
Apache 的 mod_log_config 模块本身不支持直接记录 SSL/TLS 握手阶段的原始信息（如 ClientHello、ServerHello、协商的密码套件、SNI 域名、证书交换细节等）。它只能记录 HTTPS 请求建立后、TLS 已完成握手并开始传输 HTTP 数据时的字段，例如 %{SSL_PROTOCOL}x、%{SSL_CIPHER}x、%{SSL_SERVER_S_DN_CN}x 等 —— 这些是 OpenSSL 提供的“握手后可用”的会话级变量，而非握手过程本身的审计日志。
哪些 SSL 握手相关信息可被 mod_log_config 记录
在启用 mod_ssl 的前提下，mod_log_config 可通过 %{...}x 语法访问部分 TLS 会话上下文变量，前提是连接已成功完成握手：
-
%{SSL_PROTOCOL}x：实际协商的协议版本（如TLSv1.2、TLSv1.3） -
%{SSL_CIPHER}x：使用的加密套件（如ECDHE-ECDSA-AES256-GCM-SHA384） -
%{SSL_CIPHER_USEKEYSIZE}x：对称密钥有效位数（如256） -
%{SSL_CLIENT_VERIFY}x：客户端证书验证结果（SUCCESS、FAILED:xxx、NONE） -
%{SSL_SERVER_S_DN_CN}x：服务器证书主题中的 CN（常用于虚拟主机识别） -
%{SSL_SECURE_RENEG}x：是否启用安全重协商（secure或unsafe）
⚠️ 注意：这些值仅在 TLS 握手成功且 HTTP 请求进入处理流程后才可用；若握手失败（如协议不匹配、证书错误、ALPN 协商失败），请求根本不会到达 Apache 日志模块，mod_log_config 无法记录任何内容。
如何审计真正的 SSL 握手过程（如失败原因、ClientHello 内容）
要捕获完整握手行为（包括失败场景），需依赖更底层的日志机制或外部工具：
立即学习“Java免费学习笔记（深入）”；
-
OpenSSL 调试日志：在 Apache 启动前设置环境变量
SSL_DEBUG=1并启用LogLevel debug，配合mod_ssl的SSLOptions +StdEnvVars和详细日志格式，可输出部分握手事件（但较晦涩、非结构化、不推荐生产使用） -
TCP 抓包分析：用
tcpdump或Wireshark抓取 443 端口流量，结合私钥解密 TLS 流量（仅限 TLS 1.2 及以下，TLS 1.3 需应用层密钥日志支持），可完整查看所有握手报文 - OpenSSL s_server / s_client 测试：离线模拟握手，用于复现和调试特定客户端行为（如 SNI、ALPN、签名算法偏好）
-
专用 TLS 审计代理：如
sslproxy、mitmproxy（配置为 TLS 终止+重签）或商业 WAF/ADC 设备，提供结构化握手日志与告警
增强 mod_log_config 的实用建议
虽然不能替代底层握手审计，但合理配置 mod_log_config 可提升 HTTPS 连接可观测性：
- 在
LogFormat中显式包含关键 TLS 字段，例如：LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{SSL_PROTOCOL}x %{SSL_CIPHER}x %{SSL_CLIENT_S_DN_CN}x" combined_ssl - 对高敏感接口启用
SSLStrictSNIVHostCheck on，并配合日志检查未匹配 SNI 的请求（可能为扫描或旧客户端） - 结合
SetEnvIf标记异常 TLS 行为（如低版本协议、弱密码套件），再用%{ENV:...}e记录到日志，便于后续筛选 - 确保
mod_ssl已加载且SSLEngine on正确配置，否则所有%{SSL_...}x变量均为空
总结
mod_log_config 是 HTTP 层日志工具，不是 TLS 协议分析器。它能反映“哪些 TLS 参数被最终采用”，但无法回答“握手为何失败”“客户端发送了什么扩展”“是否发生了重协商”等问题。真实 SSL 握手审计需结合网络层抓包、OpenSSL 调试、或专用 TLS 中间件。将 mod_log_config 与系统级日志（journalctl -u httpd）、OpenSSL 错误日志（error_log 中的 [ssl:info] 条目）联动分析，才能构建较完整的 TLS 安全可观测体系。
