怎么在Apache中通过mod_log_config记录SSL握手失败的底层协议错误码-Apache-PHP中文网

mod_log_config无法记录SSL/TLS握手失败的OpenSSL错误码，因其仅在握手成功且HTTP请求进入处理流程后才运行，而失败连接根本不会到达该模块；真正捕获错误码的唯一位置是Apache的error_log，需设置LogLevel info ssl:warn或更高，并关注SSL_do_handshake() failed、SSL Library Error等日志模式。

怎么在apache中通过mod_log_config记录ssl握手失败的底层协议错误码

不能。

mod_log_config 无法记录 SSL/TLS 握手失败的底层协议错误码。

原因很明确：
握手失败时，TLS 连接根本未建立成功，请求连 Apache 的日志模块都进不去。mod_log_config 只在 HTTP 请求进入处理流程后才运行，依赖的是 OpenSSL 提供的已建立会话的上下文变量（如 %{SSL_PROTOCOL}x、%{SSL_CIPHER}x）。这些变量在握手失败时根本不存在，因此日志中不会出现任何对应字段，更不可能输出 OpenSSL 错误码（如 error:1417A0C1）。

真正能捕获握手失败错误码的地方只有一个：Apache 的 error_log。

如何获取 SSL 握手失败的 OpenSSL 错误码

确保 LogLevel 足够高
在 Apache 配置中设置：
```
LogLevel info ssl:warn
# 调试阶段可临时设为：
# LogLevel debug ssl:debug
```
注意：ssl:debug 是模块级日志级别，必须显式指定，仅 LogLevel debug 不足以启用 SSL 细节。
关注 error_log 中的关键模式
失败时典型日志行包含：
- SSL_do_handshake() failed
- SSL_accept() failed
- SSL Library Error: error:XXXXXXX:...（这就是你要的 OpenSSL 错误码）
例如：
SSL_do_handshake() failed (SSL: error:1417D18D:SSL routines:tls_process_client_hello:version too low)

SSL Certificate Monitor
检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载
解析错误码（可选但推荐）
把十六进制码（如 1417D18D）交给 OpenSSL 工具：
```
openssl errstr 1417D18D
```
输出：error:1417D18D:SSL routines:tls_process_client_hello:version too low

为什么不能用 CustomLog + mod_log_config 替代

%{}x 变量全部要求“握手已完成且请求已派发”，失败场景下全为空或不可用。
即使你写 %{SSL_CLIENT_VERIFY}x 或 %{SSL_PROTOCOL}x，失败连接的日志行中这些字段只会显示 - 或留空，不报错也不记录原因。
没有类似 %{SSL_ERROR_CODE}x 或 %{OPENSSL_ERRSTR}x 的内置字段，Apache 不向 mod_log_config 暴露失败上下文。

补充建议：让错误码更易追踪

在 VirtualHost 中开启 SNI 和详细环境变量，辅助定位：
```
SSLOptions +StdEnvVars
```
这会让 error_log 中更可能附带 SSL_SERVER_NAME、SSL_PROTOCOL（若协商到某一步）等线索。
结合 tcpdump 抓包（如需分析 ClientHello 内容或 ALPN/SNI 字段），但注意：
错误码本身仍只出现在 error_log，抓包只能看原始字节，不解密则看不到语义级失败原因。

基本上就这些。