必须用特定过滤器抓ClientHello，因为普通tcpdump -i eth0 port 443会混杂加密数据，而ClientHello是唯一明文起始报文，含SNI、协议版本等关键信息，其缺失或异常直接导致握手失败且服务端日志不体现。
直接用 tcpdump 捕获 SSL/TLS 握手初始报文（尤其是 ClientHello），是定位证书握手失败最高效的第一步。关键不在于抓所有 HTTPS 流量，而在于精准过滤出 TLS 记录层的握手起始包。
为什么必须用特定过滤器抓 ClientHello
普通 tcpdump -i eth0 port 443 会捕获大量加密数据，但无法区分哪些是握手开始、哪些是应用数据。ClientHello 是 TLS 握手的第一个明文报文，含客户端支持的协议版本、密码套件、SNI 域名等核心信息。若它根本没发出去、被截断、或内容异常（如缺少 SNI、TLS 版本过低），后续握手必然失败——而这些在服务端日志里通常不体现。
推荐的 tcpdump 过滤命令及原理
在目标服务器或客户端执行以下命令：
- tcp[12:1] & 0xf0) >> 2：计算 TCP 头部长度（单位：4 字节），跳过可变长 TCP 头，准确定位到 TCP 载荷起始位置
- 0x16030100：TLS 记录层头部魔数，其中 0x16 表示 handshake 类型，0x0301 表示 TLS 1.0（兼容 1.1/1.2/1.3 的记录头格式）
- 该过滤器能稳定捕获所有 TLS 握手起始报文（ClientHello、ServerHello 等），避免抓到加密的应用数据流
抓包后快速定位三类典型握手失败线索
用 Wireshark 打开 handshake.pcap，按如下顺序检查：
- 看 ClientHello 是否发出：若只有客户端 SYN、没有后续 0x16 开头的包，说明连接未进入 TLS 阶段，问题在 TCP 层（防火墙拦截、端口不通）
- 查 SNI 域名是否正确：展开 TLS → Handshake Protocol → Client Hello → Extension → server_name，确认显示的域名与实际请求域名一致；不一致则证书匹配失败
- 核对协议与套件支持：在 ClientHello 中查看 Supported Versions 和 Cipher Suites 字段，对比服务器实际支持的 TLS 版本（如只开 TLS 1.3）和密码套件（如仅支持国密 SM4-SM3）是否重叠
配合 OpenSSL 快速验证服务端响应
若 ClientHello 已发出但无 ServerHello 回应，可在服务器本地用 OpenSSL 主动探测：
openssl s_client -connect localhost:443 -servername example.com -tls1_2 -msg 2>/dev/null- -msg 参数会打印完整握手消息交换过程，直接看到服务端返回的 ServerHello 内容或 fatal alert 报错
- 替换 -tls1_2 为 -tls1_3 或 -ssl3 可分别测试不同协议版本兼容性
- 若输出中出现 verify error:num=20:unable to get local issuer certificate，说明证书链缺失
