SSL握手失败需分级响应：证书过期/域名不匹配等需人工介入，协议不兼容可重试降级，内网环境可配置跳过验证；应使用curl或openssl主动探测并解析错误码与stderr关键词定位根因。
SSL握手失败通常意味着客户端与服务器在建立加密连接时协商失败，常见于证书过期、域名不匹配、协议版本不兼容、不信任CA或SNI未正确发送等场景。运维脚本中不能简单报错退出，而应区分原因、提供可操作的反馈，并支持重试或降级策略。
检查并捕获具体错误类型
用 openssl s_client 或 curl -v 主动探测，结合返回码和 stderr 关键词判断根因：
-
证书过期/未生效：匹配
Verify return code: 10 (certificate has expired)或notAfter时间早于当前时间 -
域名不匹配：出现
CN mismatch或verify error:num=65:unable to get certificate CRL（常伴随 subjectAltName 缺失） -
协议或加密套件不兼容：
ssl handshake failure且无证书类提示，尝试加-tls1_2或--ciphers限定 -
缺少SNI：对虚拟主机站点（如 CDN、多租户 API），用
openssl s_client -servername example.com ...显式指定
脚本中实现分级响应逻辑
避免“一刀切”失败，按风险等级做不同处理：
- 可自动恢复的错误（如临时 TLS 版本协商失败）：添加重试 + 协议回退（TLS 1.3 → 1.2 → 1.1）
- 需人工介入的错误（如证书过期、域名变更）：记录详细上下文（目标域名、端口、证书有效期、OpenSSL 版本），触发告警并暂停后续依赖任务
-
可降级的场景（如内网测试环境）：允许配置
INSECURE_SKIP_VERIFY=1环境变量，但仅限非生产环境且记录审计日志
用 curl 做健壮性探测的实用写法
以下 shell 片段可嵌入监控或部署脚本：
check_ssl() {
local host=$1 port=${2:-443}
local result=$(curl -sSvk --connect-timeout 5 --max-time 10 "https://$host:$port" 2>&1)
local code=$?
if [[ $code -eq 0 ]]; then
echo "OK: SSL handshake succeeded"
return 0
elif echo "$result" | grep -q "certificate has expired"; then
echo "ALERT: Certificate expired for $host"
return 101
elif echo "$result" | grep -q "unable to get local issuer certificate\|self signed certificate"; then
echo "WARN: Untrusted CA or self-signed cert for $host"
return 102
else
echo "FAIL: Generic SSL failure ($code) for $host"
return 103
fi
}
补充建议：统一管理信任根与调试开关
运维脚本应避免硬编码证书路径，而是通过标准机制加载：
- 使用
CURL_CA_BUNDLE或SSL_CERT_FILE指向私有 CA bundle（如内部 PKI） - 关键脚本开头加入
set -o pipefail和set -e，但对 SSL 探测部分用子 shell 或局部set +e控制容错粒度 - 所有 SSL 相关调用默认开启
-v（或日志级别 ≥ DEBUG）并重定向到独立文件，便于事后回溯握手过程
不复杂但容易忽略：很多脚本只检查 HTTP 状态码，却跳过 TLS 层是否真正建立。把 SSL 握手当作一个独立健康检查项，和端口连通性、HTTP 响应分开断言，才能准确定位问题层级。
