排查Linux SSL握手失败需抓取TLS原始数据包，重点分析ClientHello、ServerHello、Certificate、Alert等消息；须以root运行tcpdump，指定正确接口（如-lo捕获本地回环），用port 443或TLS记录层过滤器捕获，复现错误后立即停止并用Wireshark过滤ssl||tls定位缺失或告警报文。
排查Linux系统中SSL握手失败问题，需捕获并分析TLS握手过程中的原始网络数据包，重点观察ClientHello、ServerHello、Certificate、Alert等关键消息的交互是否完整、合法、及时。
确认抓包权限和网络接口
以root身份运行tcpdump，否则无法捕获原始套接字流量；非root用户执行会静默失败或仅捕获部分数据包。
运行 ip -br a 查看当前活跃接口，重点关注目标服务所在网卡（如eth0、ens33、lo），【若服务监听127.0.0.1，必须指定-lo】，否则抓不到本地回环流量。
检查tcpdump是否已安装：运行 tcpdump --version。未安装则执行 apt install tcpdump（Debian/Ubuntu）或 yum install tcpdump（RHEL/CentOS）。
基础抓包命令（含SSL/TLS过滤）
方法一：抓取特定端口的TLS流量（推荐初筛）
执行 tcpdump -i eth0 -w ssl-handshake.pcap port 443 and tcp，该命令捕获所有进出eth0、目的或源端口为443的TCP包，文件保存为二进制pcap格式，可直接用Wireshark打开。
方法二：限定只捕获握手阶段前几个包（减少干扰）
执行 tcpdump -i lo -w handshake-min.pcap 'tcp port 443 and (tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x16030100)' -c 100，该过滤器基于TLS Record Layer协议类型（0x16）和版本（0x0301），精准匹配TLSv1.0+的握手起始帧，-c 100限制最多抓100个匹配包，避免日志爆炸。
抓包时同步复现SSL握手失败场景
第一步：在终端A中启动抓包（不加-w则实时打印，但易漏包）
第二步：在终端B中触发失败请求，例如 curl -v https://example.com 或 openssl s_client -connect example.com:443 -tls1_2，确保使用与生产环境一致的TLS版本和SNI设置。
第三步：等待curl或openssl明确报错（如“SSL connect error”、“handshake failure”、“certificate verify failed”）后，立即在终端A按Ctrl+C停止抓包。
【必须等错误出现后再停抓，提前终止会丢失Server Hello Done之后的关键Alert包】
第四步：检查生成的pcap文件大小，若小于1KB，大概率未捕获到有效握手，需重试并确认目标IP、端口、接口名是否正确。
快速定位握手卡点（Wireshark辅助分析）
用Wireshark打开pcap文件，应用显示过滤器 ssl || tls。
查看首条记录是否为ClientHello：若无，说明客户端根本未发出握手请求，问题在应用层（如代码跳过SSL初始化、代理拦截、DNS失败）。
若有ClientHello但无ServerHello：服务端未响应，可能防火墙拦截、服务未监听、或ServerName不匹配导致服务端静默丢包。
若有ServerHello但无Certificate：服务端配置了空证书链，或证书文件路径错误、权限不足（nginx/apache需读取.key/.crt）、OCSP stapling超时阻塞。
若出现Alert报文（如“handshake_failure”、“unknown_ca”、“protocol_version”）：直接对应RFC 5246中的alert description，双击该包→Protocol Tree→TLS→Alert→Description字段即为根本原因。
