Nginx HTTPS协议协商失败需排查TLS握手问题，重点确认后端可达性、启用SNI、禁用SSL会话复用、限定TLS版本、调优超时与缓冲区。
HTTPS 协议协商失败在 Nginx 中通常表现为连接重置、502 错误或日志中出现 peer closed connection、SSL_do_handshake() failed 等提示。这类错误发生在 TLS 握手阶段，不是网络不通，而是加密参数无法对齐或服务识别异常。核心要围绕“谁在断连”“为什么断”“怎么让对方接住”来排查。
确认后端 HTTPS 服务真实可达且证书有效
很多问题其实卡在第一步：后端根本没准备好。
- 用
curl -v https://backend-domain:port直连测试，观察是否能完成 TLS 握手、返回 HTTP 状态码；不要只看 HTTP 响应，重点看* SSL connection using …和* Server certificate行 - 避免在
proxy_pass中写https://127.0.0.1或https://localhost——Nginx 进程访问的是它自己的回环，不是容器或内网服务的实际监听地址 - 检查后端日志，确认没有证书加载失败、私钥权限不足、监听端口被占用或进程崩溃等情况
启用 SNI 支持（proxy_ssl_server_name on）
当后端是共享 IP 的多域名环境（如云厂商 LB、K8s Ingress、SaaS 接口），必须告诉对方“你要访问哪个站点”，否则它无法选择正确证书和虚拟主机，会直接关闭连接。
- 在
location或upstream块中添加：proxy_ssl_server_name on; -
proxy_pass必须使用域名（如https://api.example.com），不能是纯 IP - Nginx 版本需 ≥ 1.7.0；低于此版本需升级，旧版（如 1.4.x）不支持该指令
禁用 SSL 会话复用（proxy_ssl_session_reuse off）
部分后端（如老旧 Tomcat、Kibana、国产加密网关、自建 OpenSSL 服务）对 session resumption 支持不完整，Nginx 复用前次握手参数会导致密钥协商失败，典型表现是“首次成功、后续全 502”。
- 显式关闭：
proxy_ssl_session_reuse off; - 配合限定协议范围更稳妥：
proxy_ssl_protocols TLSv1.2 TLSv1.3;（避免包含已淘汰的 TLSv1.0/TLSv1.1，除非后端明确要求） - 副作用是每次新建连接都走完整握手，性能略降，但稳定性优先
调优握手相关超时与缓冲区
中间设备（WAF、防火墙、云负载均衡）可能因握手耗时过长或初始包过大而主动切断连接。
- 延长握手等待时间：
proxy_connect_timeout 30s; - 增大 SSL 握手缓冲区：
proxy_buffer_size 128k; - 限制请求体大小，避免大 body 触发拦截：
client_max_body_size 20m; - 若后端响应头含大量证书链或自定义字段，可适当调高
proxy_buffering off;或增加proxy_buffers
