关键在于按顺序验证：先确认http_ssl_module是否启用（nginx -V检查），再核验证书与私钥模数一致、证书链拼接正确（fullchain.pem）、listen 443 ssl语法合规且协议支持TLSv1.2+，最后检查文件权限与SELinux限制。
排查 Nginx SSL 证书配置错误，关键不是反复改配置，而是按顺序验证底层支撑、文件关系和协议逻辑。大多数报错（如 unknown directive "ssl"、ERR_SSL_PROTOCOL_ERROR、X509_check_private_key: key values mismatch）都有明确的根因路径。
确认 http_ssl_module 模块是否已启用
这是所有 SSL 配置的前提。没有这个模块，listen 443 ssl、ssl_certificate 等指令都会被识别为非法指令。
- 运行
nginx -V 2>&1 | grep -o with-http_ssl_module，若无输出，说明模块未编译进当前二进制 - Nginx ≥ 1.9.11 可尝试动态加载：在
nginx.conf最顶部（main 上下文）添加load_module modules/ngx_http_ssl_module.so;，再执行nginx -t - 通用方案是重新编译：进入源码目录，用原有 configure 参数补上
--with-http_ssl_module，然后make（不要make install），替换旧的 nginx 二进制文件
验证证书与私钥是否真正匹配
路径写对了，不代表能用；不匹配会导致握手失败或服务无法启动，错误日志常含 key values mismatch 或 SSL_CTX_use_PrivateKey_file failed。
- 用模数（modulus）比对：分别执行
openssl x509 -noout -modulus -in your.crt | openssl md5openssl rsa -noout -modulus -in your.key | openssl md5
两行输出必须完全一致 - 若私钥是 PKCS#8 格式，改用
openssl pkey -noout -modulus -in your.key | openssl md5 - 检查私钥是否加密：若打开时提示输入 passphrase，需先解密：
openssl rsa -in key.enc -out key.pem - 私钥权限必须为
600，且 Nginx 工作用户（如www-data或nginx）有读取权限
检查证书链完整性与拼接顺序
只放域名证书，不带中间证书，现代客户端（尤其是安卓、curl、iOS）会拒绝建立信任链，表现为“证书不受信任”或直接 ERR_SSL_PROTOCOL_ERROR。
-
ssl_certificate必须指向一个完整链文件（如fullchain.pem），格式为：
第一段：你的域名证书（Subject=CN=your.domain）
第二段起：中间证书（如 Let’s Encrypt R3），不能含根证书 - 正确拼接命令：
cat cert.pem intermediate.pem > fullchain.pem（顺序不可颠倒） - 用
openssl s_client -connect your.domain:443 -showcerts查看实际返回的证书块：第一块应为域名证书，后续为中间证书；若只有一块或顺序反了，就是链配置错误
核对 listen 指令与协议兼容性
即使证书全对，listen 写错或协议过时也会导致握手失败，浏览器报 ERR_SSL_PROTOCOL_ERROR。
- 确保 server 块中监听 443 的行明确带
ssl参数，例如：listen 443 ssl http2;或listen [::]:443 ssl;；删除已废弃的ssl on; -
ssl_protocols至少包含TLSv1.2 TLSv1.3；禁用SSLv3、TLSv1.0等不安全旧协议 - 每次修改后务必执行
sudo nginx -t，它会精准指出哪一行、哪个指令出错 - 注意 SELinux/AppArmor 限制：CentOS/RHEL 下可临时执行
sudo setenforce 0测试是否受策略拦截
