如何通过日志变量$ssl_protocol审计线上客户端TLS版本分布-Nginx-PHP中文网

使用$ssl_protocol记录日志可准确审计客户端真实tls版本分布，通过nginx日志格式配置、awk统计与user-agent/ip关联分析，实现版本分布监控、问题定位及降级排查。

如何通过日志变量$ssl_protocol审计线上客户端tls版本分布

直接用 $ssl_protocol 记录并分析日志，是审计线上客户端真实 TLS 版本分布最简单、最可靠的方式——它不看配置是否“写了”，只看实际连上来的协议是什么。

在 Nginx 的 http 块中定义一条含该变量的日志格式，例如：

log_format tls_dist '$remote_addr [$time_local] "$request" $status $ssl_protocol "$http_user_agent"';

再在启用 HTTPS 的 server 块中启用它：

access_log /var/log/nginx/tls-distribution.log tls_dist;

确保该 server 已配置 listen 443 ssl 和有效证书。重载配置后，每条 HTTPS 请求日志第 6 字段就是实际协商出的协议，如 TLSv1.3、TLSv1.2，明文请求或握手失败则为空或 -。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

日志积累几小时后，用以下命令即可看到真实分布：

查看全部 TLS 版本频次（按降序）：
awk '{print $6}' /var/log/nginx/tls-distribution.log | sort | uniq -c | sort -nr
只统计最近一小时的 TLSv1.2 和 TLSv1.3：
awk -v d="$(date -d '1 hour ago' '+%d\/%b\/%Y:%H')" '$4 ~ d {print $6}' /var/log/nginx/tls-distribution.log | grep -E 'TLSv1\.(2|3)' | sort | uniq -c
筛选出仍在用 TLSv1.0 或 TLSv1.1 的请求行：
grep -E 'TLSv1\.0|TLSv1\.1' /var/log/nginx/tls-distribution.log | head -10

单看版本不够，要闭环处理，需关联其他字段：

对某版本（如 TLSv1.0）提取高频 User-Agent：
grep 'TLSv1\.0' /var/log/nginx/tls-distribution.log | awk -F'"' '{print $6}' | sort | uniq -c | sort -nr | head -5
查对应 IP 的请求频率和时间分布，判断是扫描器还是真实用户：
grep 'TLSv1\.0' /var/log/nginx/tls-distribution.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -5
若发现大量 TLSv1.0 但配置已禁用，说明存在中间设备降级或客户端绕过 SNI（常见于 WinXP IE6/7），需检查网络链路或升级终端。