Apache中TLS握手协议不匹配本质是客户端与服务端TLS版本无交集，连接在ClientHello阶段中断；需启用LogLevel ssl:debug，通过error_log中的“version too low”“unknown protocol”等OpenSSL错误码精准定位，并用openssl s_client命令实测服务端支持版本。

apache 中 tls 握手协议不匹配，本质是客户端与服务端在 tls 版本上无法达成一致，连接会在 clienthello 阶段就中断，通常不报具体错误，只静默降级或返回“handshake failure”。排查关键不是猜配置，而是看真实协商过程和日志线索。

看 error_log 里的 OpenSSL 错误码

默认日志级别看不到细节，需先启用调试信息：

• 在 Apache 配置中添加：LogLevel ssl:debug
• 重启后检查 error_log，重点找含以下关键词的行：

• version too low：客户端用了 TLSv1.0/TLSv1.1，但服务器只启用了 TLSv1.2+
• unknown protocol：客户端发了 TLSv1.3 请求，而 Apache 编译所用 OpenSSL 版本太旧（如低于 1.1.1）不支持
• SSL23_GET_CLIENT_HELLO:http request：客户端根本没发 TLS 握手包，而是直接发了 HTTP 明文（比如用户输错地址为 http:// 却访问了 443 端口）

用 OpenSSL 主动探测服务端支持的最低版本

命令结果比配置文件更真实，因为编译选项、模块加载、运行时条件都可能覆盖配置：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 测试 TLSv1.2：openssl s_client -connect example.com:443 -tls1_2 -servername example.com（加 -servername 触发 SNI）
• 测试 TLSv1.1：openssl s_client -connect example.com:443 -tls1_1 -servername example.com
• 若某条命令返回 CONNECTED(00000003) 和 Verify return code: 0 (ok)，说明该版本可用；若卡在 write:errno=0 或直接退出，大概率被服务端拒绝

核对 SSLProtocol 配置是否生效且无冲突

常见陷阱不是写错了，而是被多处配置覆盖：

• 检查全局 ssl.conf、虚拟主机块、甚至 .htaccess（如果允许 Override）中是否有重复或矛盾的 SSLProtocol 指令
• 推荐显式写法（禁用所有不安全旧版，只留明确支持的）：
  SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2 +TLSv1.3
• 注意：Apache 2.4.37+ 才完整支持 TLSv1.3；若版本较低，+TLSv1.3 实际无效，但也不会报错

结合 access_log 补全客户端上下文

握手失败本身不进 access_log，但成功连接可暴露客户端能力：

• 定义带 TLS 信息的日志格式：
  LogFormat "%h %l %u %t \"%r\" %>s %b \"%{User-Agent}i\" %{SSL_PROTOCOL}x %{SSL_CIPHER}x" tls_combined
• 启用：CustomLog logs/tls_access.log tls_combined
• 观察日志中是否出现大量 TLSv1.0 或 TLSv1.1 记录——这说明仍有旧客户端在连，若你已禁用这些版本，它们就会失败