ssl_handshake_timeout控制tls握手最大等待时间，默认30秒，超时即断连；必须置于启用ssl的server块中，仅作用于握手阶段，推荐公网设15–30秒、内网5–10秒，禁用或≤2秒均不妥。
在 Nginx 中，SSL 握手超时时间由 ssl_handshake_timeout 指令控制，该指令自 Nginx 1.19.0 起引入，用于限制 TLS 握手阶段的最大等待时间。默认值为 30 秒，超时后连接会被直接关闭。
确认 Nginx 版本是否支持
运行以下命令检查版本：
nginx -v
若版本低于 1.19.0，则不支持 ssl_handshake_timeout，需升级或通过系统级 TCP 参数间接缓解（如调整 net.ipv4.tcp_fin_timeout 等，但非真正意义上的握手超时控制）。
在 server 块中配置 ssl_handshake_timeout
该指令必须放在启用 HTTPS 的 server 块内，且仅对 SSL/TLS 连接生效：
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/key.pem;
ssl_handshake_timeout 10s;
# 其他配置...
}
- 单位支持
s（秒）、ms（毫秒），例如5000ms或5s - 值设为
0表示禁用超时（不推荐，存在资源耗尽风险） - 该超时仅作用于 TLS 握手开始到完成的阶段，不包括后续 HTTP 请求处理
配合其他 SSL 相关超时参数使用
单独设置握手超时还不够，建议同步优化以下参数以提升 TLS 连接健壮性：
-
ssl_protocols TLSv1.2 TLSv1.3;—— 禁用老旧协议，减少协商失败可能 -
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;—— 使用高效、兼容性好的密码套件 -
keepalive_timeout 65;—— 控制 HTTP keep-alive 连接空闲时间，与握手超时无关但影响整体连接管理
验证配置是否生效
修改后重载配置并观察日志：
nginx -t && nginx -s reload
tail -f /var/log/nginx/error.log
若出现类似 SSL_do_handshake() failed (SSL: error:1408F119:SSL routines:ssl3_get_record:ssl handshake timeout) 的日志，说明超时机制已触发。
