最可靠方式是结合日志记录与命令行探测：通过自定义日志格式输出%{ssl_protocol}x实时观察协商结果，并用openssl s_client -tls1_2/-tls1_3主动测试服务器实际支持的tls版本。
直接查看 Apache 当前启用的 TLS 版本，不能靠配置文件“写了什么”来判断，而要看实际运行时 OpenSSL 协商支持的协议——因为最终生效版本由 Apache 配置、OpenSSL 库能力、JVM（如用 Java 模块）及客户端能力共同决定。最可靠的方式是结合日志记录与命令行探测。
通过访问日志实时观察协商结果
Apache 的 mod_ssl 提供了会话级 TLS 信息变量，可在日志中直接输出每次成功连接实际使用的协议：
- 确保已启用
mod_ssl：a2enmod ssl（Debian/Ubuntu）或确认LoadModule ssl_module modules/mod_ssl.so在配置中启用 - 在 Apache 配置中（如
/etc/apache2/mods-available/ssl.conf或虚拟主机内）添加自定义日志格式：LogFormat "%h %t \"%r\" %>s %{SSL_PROTOCOL}x %{SSL_CIPHER}x" tls_log - 启用该格式记录访问日志：
CustomLog ${APACHE_LOG_DIR}/access_tls.log tls_log - 重启 Apache：
sudo systemctl restart apache2 - 发起 HTTPS 请求（如
curl -I https://your-domain.com），然后检查日志：tail -n 1 /var/log/apache2/access_tls.log
输出类似：192.168.1.5 [05/Jun/2026:20:30:12 +0000] "HEAD / HTTP/1.1" 200 TLSv1.3 TLS_AES_256_GCM_SHA384
注意：此方式只记录握手成功的连接，无法捕获因协议不匹配导致的失败请求。
用 openssl 命令主动探测服务器支持的 TLS 版本
这是验证服务端能力最直接的方法，不依赖日志或客户端兼容性：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 测试 TLS 1.2：
openssl s_client -connect your-domain.com:443 -tls1_2 -servername your-domain.com 2>/dev/null | grep "Protocol " - 测试 TLS 1.3：
openssl s_client -connect your-domain.com:443 -tls1_3 -servername your-domain.com 2>/dev/null | grep "Protocol " - 测试 TLS 1.1（如需兼容老旧系统）：
openssl s_client -connect your-domain.com:443 -tls1_1 -servername your-domain.com 2>/dev/null | grep "Protocol "
若返回 Protocol : TLSv1.2 表示该版本可成功协商；若超时或报错（如 ssl handshake failure），说明服务端未启用或被 OpenSSL 版本限制。
检查 Apache 配置中声明的 SSLProtocol 指令
虽然配置不等于实际能力，但它是第一道控制开关。查找生效的 SSLProtocol 设置：
- 运行：
apache2ctl -M 2>/dev/null | grep ssl确认ssl_module已加载 - 搜索全局配置：
grep -r "SSLProtocol" /etc/apache2/ --include="*.conf"（Debian/Ubuntu）
或grep -r "SSLProtocol" /etc/httpd/ --include="*.conf"（RHEL/CentOS） - 典型安全配置为：
SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1（禁用旧协议）
或明确启用：SSLProtocol +TLSv1.2 +TLSv1.3 - 注意：如果未显式设置，Apache 默认行为取决于 OpenSSL 版本（如 OpenSSL 1.1.1+ 默认支持 TLS 1.2/1.3，但可能仍允许 TLS 1.1）
确认底层 OpenSSL 支持范围
Apache 本身不实现 TLS，而是调用系统 OpenSSL 库。运行以下命令查看当前 OpenSSL 编译支持的协议：
-
openssl version -a→ 查看 OpenSSL 版本（1.1.1+ 才原生支持 TLS 1.3） -
openssl ciphers -v 'ALL:COMPLEMENTOFALL' | awk '{print $4}' | sort -u→ 列出所有可用协议字段（含 TLSv1, TLSv1.2, TLSv1.3） - 若输出不含
TLSv1.3，即使 Apache 配置了也无效
