“alert handshake failure”在Apache下通常不是证书错误，而是密码套件无交集；需查error_log中“no shared cipher”等线索，用OpenSSL验证实际启用套件，并调整SSLCipherSuite与SSLHonorCipherOrder配置。
“alert handshake failure”在 Apache 环境下，**不等于证书错误，大概率是加密算法（即密码套件）协商失败**。客户端发来一串它支持的加密套件列表，Apache 检查后发现一个都匹配不上，就直接终止握手，返回这个通用错误。排查要绕过猜测，直击协议层交集。
看 Apache 错误日志里的关键线索
打开 Apache 的 error_log（建议设为 LogLevel ssl:debug），重点搜这几行：
-
no shared cipher→ 铁证：密码套件无交集 -
no ciphers available→ 同上，服务端配置可能为空或全被禁用 -
ssl_alert number 40（即 handshake_failure）且前后没有unable to get local issuer certificate或certificate has expired→ 排除证书链和过期问题，聚焦算法
实测服务器实际启用的套件
别只信配置文件，用 OpenSSL 直连验证 Apache 真正对外“端出”的菜单：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 运行：
openssl s_client -connect your-domain.com:443 -tls1_2 -cipher 'ALL' 2>/dev/null | openssl cipher -v - 若输出为空或报错
no cipher match，说明 Apache 当前没启用任何 TLS 1.2 套件 - 再试 TLS 1.3：
openssl s_client -connect your-domain.com:443 -tls1_3 2>/dev/null | grep "Cipher"，确认是否只开了新协议却没配兼容旧客户端的套件
比对客户端支持的套件范围
不同客户端能力差异很大，不能默认都支持现代套件：
- 老 Java 应用（如 JDK 7/8 默认）：基本不支持 GCM、SHA256 套件，依赖
TLS_ECDHE_RSA_WITH_AES_128_SHA这类 SHA1 套件 - Android 4.x / Windows Server 2008：不支持 ECDHE-ECDSA，只认 RSA 密钥交换
- 浏览器可查：访问
chrome://settings/security或用 SSL Labs 扫描域名，看其“Client capabilities”部分
调整 Apache 的 SSLCipherSuite 配置
在 ssl.conf 或虚拟主机中修改，原则是“保留安全底线，补上必要兼容”：
- 推荐起始配置（兼顾安全与兼容）：
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256 - 必须加：
SSLHonorCipherOrder on，确保服务端按你写的顺序优先选择 - 禁用高危项：
!aNULL !eNULL !EXPORT !RC4 !MD5 !PSK !SRP !CAMELLIA（这些应已默认排除） - 若需兼容极老客户端（如 IE8/XP），可追加：
:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA，但注意 DHE 性能开销
验证并收尾
改完重启 Apache，立即用原问题客户端重试。仍失败？再跑一次 OpenSSL 测试，确认输出中出现了你新加的套件名，并且 Verify return code: 0 (ok)。如果日志里不再出现 no shared cipher，基本就是调通了。
