Apache SSL日志分析需区分ssl_access_log（记录成功握手的会话信息，用于合规审计与协议统计）和error_log（记录握手失败原因，需调高LogLevel至ssl:debug并结合OpenSSL错误码分析）。
Apache 生产环境中的 SSL 日志分析，核心是区分两类日志：一类是握手成功后记录在 ssl_access_log 中的会话级信息；另一类是握手失败时写入 error_log 的底层错误线索。两者目标不同、方法不同，不能混用。
看 ssl_access_log：确认已建立连接的 TLS 实际协商结果
该日志只记录 HTTPS 请求成功建立并完成 TLS 握手后的字段，适合做合规审计、协议版本分布统计、加密套件使用情况分析等。
- 需先配置 LogFormat 启用 SSL 变量，例如：
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{SSL_PROTOCOL}x %{SSL_CIPHER}x %{SSL_CLIENT_VERIFY}x" ssl_combined - 确保 CustomLog 指向 ssl_access_log 并使用该格式：
CustomLog logs/ssl_access.log ssl_combined - 常见可提取字段包括：
– %{SSL_PROTOCOL}x（如 TLSv1.2、TLSv1.3）
– %{SSL_CIPHER}x（如 ECDHE-RSA-AES128-GCM-SHA256）
– %{SSL_CLIENT_VERIFY}x（NONE/SUCCESS/FAILED:xxx，用于双向认证排查） - 注意：若客户端握手失败（如协议不支持、证书校验失败），该请求根本不会出现在 ssl_access_log 中——它连 HTTP 层都没进入。
查 error_log：定位握手失败的真实原因
所有 SSL/TLS 握手异常都落在 error_log，但默认日志级别太低，必须主动调高才能看到关键细节。
- 临时启用详细日志：
LogLevel info ssl:debug
（生产环境调试后建议恢复为 warn 或 error） - 重点关注以下关键词组合：
– no shared cipher：客户端与服务端加密套件无交集，检查 OpenSSL 版本、SSLCipherSuite 配置及 Java 客户端支持列表
– unknown protocol：TLS 版本不兼容，比如客户端发 TLS 1.3 Hello，而 Apache 未启用 TLS 1.3（需 OpenSSL ≥ 1.1.1 + SSLProtocol 配置正确）
– bad certificate 或 certificate verify failed：证书过期、私钥不匹配、链不完整（尤其 Let’s Encrypt 场景下漏配中间证书）
– SSL_do_handshake failed：通常紧跟 OpenSSL 错误码，如error:1408A0C1，可用openssl errstr 1408A0C1查准确定义 - 别只看报错行——前后 3~5 行常含 Client Hello 的协议版本、SNI 域名、支持的密码套件列表，这些才是判断兼容性的依据。
补一手：用 goaccess 快速可视化 ssl_access_log
对已成功的 HTTPS 连接，用 goaccess 能快速生成可读报告，辅助发现趋势问题。
- 确保日志格式与 goaccess.conf 中 log-format 严格一致，例如：
log-format %h %l %u %t "%r" %>s %b "%{Referer}i" "%{User-Agent}i" %{SSL_PROTOCOL}x %{SSL_CIPHER}x - Docker 方式运行（推荐）：
cat logs/ssl_access.log | docker run --rm -i -e LANG="zh_CN.UTF-8" -v $(pwd)/goaccess.conf:/etc/goaccess/goaccess.conf allinurl/goaccess -a -o html -p /etc/goaccess/goaccess.conf > report.html - 输出报告中可直观查看：各 TLS 协议占比、主流加密套件分布、客户端证书验证成功率、按域名/路径的 HTTPS 使用情况等。
绕不开的 Java 客户端协同排查
当 Apache 日志显示握手失败，而问题实际出在 Java 应用发起的 HTTPS 调用上时，需同步检查：
- TLS 版本是否对齐：Java 8u291+ 默认禁用 TLS 1.0/1.1，若 Apache 仅开放 TLS 1.2，则 Java 客户端需显式启用（或升级 JDK）
- 加密套件兼容性：Java 默认套件列表较窄，Apache 的 SSLCipherSuite 若过于激进（如仅保留 ChaCha20），Java 旧版本可能不支持
- 系统时间偏差：Java SSLContext 对证书有效期校验极严，服务器或客户端系统时间误差超过 5 分钟即导致 “certificate expired” 类错误
- 信任库配置：Java 应用若未使用系统默认 cacerts，或自定义 TrustManager 绕过校验，可能掩盖真实握手失败原因
