排查Nginx TLS握手失败，核心是通过error_log中的OpenSSL错误码定位协议层问题：先依“to upstream”或“client: xxx”锁定方向，再据error:1417A0C1（no shared cipher）、error:1417D18D（version too low）等精准码判断套件或版本不匹配，最后用openssl s_client实测验证。
排查 Nginx TLS 握手失败，核心是让日志“说出协议层真相”——关键不在 access_log，而在 error_log 中的 OpenSSL 错误码；开启 debug 日志不是目的，而是为了拿到 no shared cipher、version too low、unsupported protocol 这类精准线索。
确认 debug 日志是否真正生效
很多排查卡在第一步：以为开了 debug，实际没输出。必须验证：
- 检查 Nginx 编译参数：
nginx -V 2>&1 | grep -o with-debug，无输出说明未启用调试模块（主流发行版包常默认关闭） - 配置中仅写
error_log /path/to/debug.log debug;不够，需确保该指令位于http或具体server块内，且未被更高级别error_log覆盖 - 重启后手动触发一次 HTTPS 请求，立即检查 debug.log 是否有类似
SSL_do_handshake() failed (SSL: error:1417A0C1:...:no shared cipher)的行——没有则配置未生效
从日志上下文快速锁定问题方向
同一句 SSL_do_handshake() failed，含义天差地别，必须看紧邻的上下文关键词：
- 含
while SSL handshaking to upstream→ Nginx 是客户端，问题出在proxy_pass https://连后端时，重点查协议是否真为 HTTPS、proxy_ssl_server_name on是否启用、proxy_ssl_session_reuse是否引发复用冲突 - 含
client: xxx.xxx.xxx.xxx且无upstream字样 → Nginx 是服务端，问题出在浏览器/App 连接你这台服务器，重点查ssl_protocols是否禁用了客户端唯一支持的版本（如只留 TLSv1.2/TLSv1.3，但用户用 IE11）、ssl_ciphers是否过度剔除旧套件（如移除了ECDHE-RSA-AES128-SHA） - 出现
SSL server name: "xxx.com"→ 客户端发了 SNI，但服务端未响应或证书不匹配，可结合openssl s_client -connect domain.com:443 -servername domain.com验证
读懂 OpenSSL 错误码，跳过无效操作
文字描述易误导，十六进制错误码才是协议层“诊断书”：
-
error:1417A0C1（no shared cipher）→ 密码套件无交集。不是证书问题，也不是协议版本问题。用openssl s_client -connect your.com:443 -cipher 'ALL:eNULL' | grep "Cipher is"查服务端实际可用套件；若为空，说明ssl_ciphers配置过严 -
error:1417D18D（version too low）→ 客户端 TLS 版本低于ssl_protocols允许下限。例如日志显示SSL: client TLS version: TLSv1.0，而配置为ssl_protocols TLSv1.2 TLSv1.3，则必须放宽或明确告知业务方淘汰该客户端 -
error:1408F10B（wrong version number）→ 收到的数据根本不像 TLS 记录。90% 是proxy_pass https://指向了只监听 HTTP 的后端，或客户端把 HTTPS 请求发到了 Nginx 的 HTTP 监听端口（如listen 80 ssl;漏删了ssl） -
error:14094410（handshake failure）→ 多见于 SNI 缺失（后端多域名 HTTPS 未收到server_name）或服务端要求客户端证书但未提供
辅助验证：不用猜，用命令直击协议层
日志是线索，命令是验证。针对不同方向，选对工具：
- 查客户端支持什么：用
openssl s_client -connect your.com:443 -tls1_1 -servername your.com依次试-tls1、-tls1_1、-tls1_2、-tls1_3，看哪个能完成握手并返回Verify return code: 0 (ok) - 查证书链是否完整：
openssl s_client -connect your.com:443 -showcerts 2>/dev/null | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -print_certs -noout，确认中间 CA 是否下发 - 抓原始握手帧：
tcpdump -i any 'tcp port 443 and (tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x160301)'捕获 ClientHello，观察是否有 ServerHello 回应——没有则不是配置问题，而是防火墙、路由或后端根本未监听
