SSL/TLS握手失败本质是协议或密码套件协商中断，表现为服务端在ServerHello后RST、无完整握手消息；需用OpenSSL逐版本测试兼容性，并排查JDK/OS/中间件的TLS支持边界与配置冲突。
这个错误表明 SSL/TLS 握手过程中，对方（peer）在协商未完成时就主动关闭了连接，本质是双方在协议层无法达成一致，不是证书过期或域名不匹配这类常见问题，而是更底层的兼容性断裂。
先确认是不是握手阶段中断
关键看日志中是否出现以下特征组合：
- 错误信息含 “peer closed connection in SSL handshake” 或 “SSL peer shut down incorrectly”
- 没有完整的 Certificate、ServerKeyExchange、ServerHelloDone 等握手消息输出
- Wireshark 抓包显示服务端只发了 ServerHello 就直接 FIN/RST，没走 Close Notify 流程
满足以上，基本可锁定为协议或套件协商失败导致的提前终止，而非证书验证失败或网络丢包。
查服务器支持什么：用 OpenSSL 主动探测
在客户端机器（或跳板机）运行命令，逐个测试协议版本和套件兼容性：
-
测 TLS 版本：
openssl s_client -connect example.com:443 -tls1_2 -servername example.com（替换为实际域名） - 依次尝试
-tls1、-tls1_1、-tls1_2、-tls1_3，观察哪条返回 “Verify return code: 0 (ok)” 且有完整握手日志；若某条直接报handshake failure，说明该版本被服务器禁用 -
查可用套件：
openssl s_client -connect example.com:443 -cipher 'ALL:eNULL' 2>/dev/null | grep "Cipher is"，若无输出或仅显示Cipher is 0000，代表当前协议下无有效套件可选
查客户端能力边界
不同环境支持范围差异很大，需明确实际运行栈：
- JDK 应用：老系统用 JDK 6u45 默认只支持 TLSv1，无法协商 TLSv1.2；JDK 7 要 update 111+ 才支持 TLSv1.1；JDK 8 是较安全的起点
-
PHP/Composer：检查
openssl version，低于 1.1.1 的 OpenSSL（如 CentOS 7 自带的 1.0.2k）不支持 TLSv1.3 且默认禁用部分现代套件 - 浏览器或移动 App：Android 4.4 仅支持 TLSv1.0；iOS 9+、Chrome 30+、Firefox 27+ 支持 TLSv1.2；TLSv1.3 需 Chrome 70+/Firefox 63+
重点排查中间链路干扰
企业环境中，防火墙、WAF、代理、负载均衡器常静默降级或拦截握手：
- 检查负载均衡器（如 Nginx、F5、AWS ALB）是否配置了
ssl_protocols或ciphers，是否强制要求 TLSv1.3 导致旧客户端断连 - 确认公司出口代理是否启用 SSL 检查（SSL Inspection），它会终止并重签证书，可能引入协议/套件不兼容
- 用
curl -v https://example.com对比直连与经代理访问的结果，看* TLSv1.2 (IN), TLS Unknown, Certificate (0x8)类日志是否异常截断
