无法通过Nginx日志定位非法或过期证书访问，因为TLS握手失败发生在HTTP层之前，Nginx未收到请求，access_log和默认error_log均无记录；真正验证需前置检查证书有效期、自动续期及外部TLS探测。
你无法通过 Nginx 日志定位“使用非法或过期证书的客户端访问”，因为这类访问根本不会产生任何 Nginx 日志记录。
为什么 access_log 和 error_log 都看不到
TLS 握手失败发生在 HTTP 层之前。当客户端（如浏览器、curl、移动 App）检测到服务器证书过期、域名不匹配、签名无效或根证书不受信时，会在 TCP 连接建立后、发送第一个 HTTP 请求前就中止连接。此时：
- Nginx 没收到任何 HTTP 请求 → access.log 完全空白；
- 默认 error_log 级别下通常不记录握手失败 → error.log 中查不到对应条目（除非启用 debug 日志并配置了 ssl_error_log）；
- 用户看到的是浏览器原生警告页（如 NET::ERR_CERT_DATE_INVALID），流量未进入 Nginx 应用层。
哪些日志线索看似相关，但实际不能证明证书非法
以下现象常被误认为是“客户端在尝试非法证书访问”，实则与证书有效性无关：
- 大量 499 状态码：表示客户端主动断开连接，可能因页面加载中途触发证书警告而放弃，但也可能是网络抖动、前端 JS 中断、移动端切后台等；
- 高频 favicon.ico / robots.txt 的 404 或 403：多来自扫描器或爬虫，与证书状态无直接关联；
- User-Agent 含 curl、wget、python-requests 等：这些工具默认不校验证书（如 curl -k），它们成功连上只说明 TLS 握手通过，不代表证书非法；若真遇到过期证书，curl 默认会报错退出，根本不会发请求。
真正能识别证书问题的途径是前置检查，不是日志回溯
要确认“你的证书是否已被客户端判定为非法”，必须在连接发生前主动验证：
-
本地快速检查：运行
openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates，查看 Not Before/Not After 时间； - 自动续期保障：用 Certbot + systemd timer 或 cron，配合 --deploy-hook 发送告警（如邮件、钉钉），避免到期无人知晓；
- 外部可信验证：接入 SSL Labs API 或 Prometheus + blackbox_exporter 对 443 端口做 TLS 探测，实时捕获过期、链路断裂、OCSP 响应异常等问题。
补充：Nginx 本身从不校验证书有效性
Nginx 只负责把证书文件原样发送给客户端。它不检查证书是否过期、是否被吊销、信任链是否完整——这些全部由客户端完成。因此，“Nginx 日志里出现某 IP 正在尝试过期证书”这个场景，在技术原理上就不可能存在。
