排查Nginx TLS问题核心是可视化握手过程：先验证配置生效（路径、权限、nginx -t）、再用openssl测试基础连通性，最后在服务端lo接口抓包，用tls.handshake.type过滤关键帧，并通过客户端SSLKEYLOGFILE配合Wireshark解密查看SNI、证书、密码套件等明文细节。
排查 Nginx 的 TLS 问题，核心是把加密握手过程“可视化”。Wireshark 不是万能解密器，但它能精准呈现 TLS 握手每一步是否发出、是否到达、是否被拒绝——这是日志和错误码永远给不了的现场证据。关键不在抓包本身，而在于让 TLS 流量可读、可比、可定位。
确认 Nginx TLS 配置是否生效
很多“TLS失败”其实卡在配置层，根本没走到网络交互。先验证基础：
- 检查 Nginx 配置中 ssl_certificate 和 ssl_certificate_key 路径是否正确，文件权限是否允许 nginx worker 进程读取（常见坑：私钥权限为 644 或属主不对）
- 执行 nginx -t 确保语法无误，再用 nginx -s reload 生效，避免配置未加载就急着抓包
- 用 openssl s_client -connect yourdomain.com:443 -tls1_2 手动测试，观察是否能完成握手、返回证书链、有无 “Verify return code: 0 (ok)”
- 若 openssl 连接直接报 “connect: Connection refused”，说明 Nginx 没监听 443，或防火墙/SELinux 拦截，此时抓包看到的是 TCP SYN 后无响应，而非 TLS 错误
Wireshark 抓包位置与接口选择
抓错地方，等于白抓。Nginx 是服务端，问题往往发生在客户端到 Nginx 的第一跳：
- 首选在 Nginx 服务器本机抓包：用 lo（回环）接口可捕获所有进出流量，排除物理链路干扰；用 eth0/wlan0 接口则反映真实网卡收发，适合排查中间设备（如负载均衡、WAF）干扰
- 避免在客户端抓包后“猜”服务端行为——两端时间不同步、缓冲差异大，对比困难；必须服务端+客户端同时抓，才能对齐时间戳看延迟、重传、RST 来源
- 若 Nginx 前有反向代理（如 Traefik、HAProxy），需明确问题发生在哪一层：先在代理后端（即直连 Nginx 的机器）抓，确认 Nginx 自身是否健康；再往前移，定位是代理转发异常还是 Nginx 响应异常
聚焦 TLS 握手关键帧过滤与解读
不用看全量包，用显示过滤器快速定位病灶：
- 过滤 TLS 握手：输入 tls.handshake.type == 1（ClientHello）、tls.handshake.type == 2（ServerHello）、tls.handshake.type == 11（Certificate）、tls.handshake.type == 14（ServerHelloDone）
- 常见症状对应包特征：
– 客户端发了 ClientHello 但没收到 ServerHello → Nginx 未响应，查 Nginx 进程、端口监听、防火墙
– ServerHello 后紧接 Alert（type 21）→ Nginx 主动终止，常见于不支持的协议版本（如客户端只支持 TLS 1.0，Nginx 配置了 ssl_protocols TLSv1.2 TLSv1.3）或密码套件不匹配
– Certificate 包为空或长度极小 → 私钥/证书路径错误，Nginx 日志通常报 “SSL_CTX_use_PrivateKey_file() failed” - 右键任意 TLS 包 → “Follow” → “TLS Stream”，可查看完整明文（若已配置解密）或十六进制原始握手载荷，比单帧更易发现字段异常（如 SNI 域名为空、ALPN 协议列表缺失）
启用 TLS 解密看清加密内容
仅看握手帧不够，有时需确认证书内容、SNI 域名、ALPN 协议是否符合预期：
- 在 Nginx 服务器上，设置环境变量 SSLKEYLOGFILE=/tmp/sslkey.log，然后启动 Nginx（注意：Nginx 本身不原生支持该变量，需配合支持 NSS Key Log 的运行时，如使用 OpenSSL 1.1.1+ 编译且启用了 keylog；更可靠方式是在客户端侧解密，见下条）
- 推荐做法：在客户端浏览器（Chrome/Firefox）启动时注入 SSLKEYLOGFILE，例如：
chrome.exe --ssl-key-log-file=C:\temp\sslkey.log
重启浏览器后访问 Nginx 域名，Wireshark 中配置 Preferences → Protocols → TLS → (Pre)-Master-Secret log filename 指向该文件，即可解密 HTTPS 流量，看到完整 HTTP 请求头、证书详情、甚至重协商原因 - 解密后重点检查：
– ClientHello 中的 Server Name Indication (SNI) 是否为你期望的域名（多域名虚拟主机依赖此项）
– ServerHello 中的 Selected Cipher Suite 是否在 Nginx ssl_ciphers 列表中
– Certificate 消息里的 CN/SAN 是否匹配请求域名，是否过期
