https握手失败核心是协议协商故障，需四步排查：一查tls版本与套件兼容性（ssl_protocols至少含tlsv1.2/tlsv1.3，ssl_ciphers配pfs套件）；二验证书链完整性（合并域名证与中间证为fullchain.pem）；三核监听配置（listen 443 ssl不可省略）；四启debug日志定位ssl_do_handshake()失败环节。
HTTPS 握手失败通常不是证书问题本身，而是协议协商环节出错。Nginx 配置 HTTPS 后出现握手错误（如浏览器显示 ERR_SSL_PROTOCOL_ERROR、SSL_ERROR_RX_RECORD_TOO_LONG 或 curl 报 SSL routines:ssl3_read_bytes:sslv3 alert handshake failure），需从协议支持、证书链、TLS 版本和监听配置四个层面系统排查。
检查 TLS 协议与密码套件是否兼容
Nginx 默认可能启用过时或客户端不支持的协议（如仅启用 TLSv1.0）或禁用必要套件，导致协商中断。现代浏览器（Chrome/Firefox/Safari）已弃用 SSLv3 和 TLSv1.0，且要求服务器支持至少 TLSv1.2 及带前向保密（PFS）的密码套件。
- 确认
ssl_protocols至少包含TLSv1.2 TLSv1.3（避免写SSLv3 TLSv1 TLSv1.1等已淘汰协议） - 使用
ssl_ciphers指定强且广泛兼容的套件，例如：ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384; - 添加
ssl_prefer_server_ciphers off;（推荐关闭，让客户端优先选择最优套件）
验证证书链完整性与格式正确性
证书链缺失或顺序错误会导致客户端无法构建信任路径，表现为握手阶段“Certificate”消息后直接断连。常见于只配置了域名证书，未附带中间 CA 证书。
- 用
openssl x509 -in your.crt -text -noout查看证书 Subject 和 Issuer，确认是否为终端证书（非根/中间证书） - 将域名证书 + 中间证书（按顺序）合并为一个 PEM 文件（根证书无需包含）：
cat your_domain.crt intermediate.crt > fullchain.pem - Nginx 配置中必须使用该完整链文件：
ssl_certificate /path/to/fullchain.pem;（而非单个 crt） - 私钥需为 PEM 格式且无密码（如有密码，启动时会卡住；可用
openssl rsa -in key.pem -out key_unencrypted.pem解密）
确认监听配置未混用 HTTP/HTTPS 端口
最常被忽略的错误：在 443 端口监听时未启用 ssl 参数，或误将 HTTP 配置复制到 HTTPS server 块中，导致 Nginx 以明文方式响应 TLS 握手请求。
- HTTPS server 块必须含
listen 443 ssl http2;（ssl关键字不可省略） - 禁止在同一个
listen 443上同时处理 HTTP 和 HTTPS（即不能省略ssl又没配重定向） - 若启用 HTTP/2，需确保 OpenSSL 版本 ≥ 1.0.2 且 Nginx ≥ 1.9.5；否则移除
http2避免协商失败 - 可临时用
curl -vk https://yourdomain.com观察是否返回 “SSL certificate problem” 或直接报 “Empty reply from server”（后者大概率是未启用 ssl 监听）
启用详细日志定位具体失败阶段
Nginx 默认 error log 级别不足以显示 TLS 握手细节。需临时调高日志级别并抓包辅助判断。
- 在
http或对应server块中添加：error_log /var/log/nginx/ssl_debug.log debug;
（注意：debug 日志量大，排查后及时降级） - 重启 Nginx 后复现问题，查看日志中是否出现：
SSL_do_handshake() failed、no suitable signature algorithm（TLSv1.2+ 签名算法不匹配）、client sent no required certificate（双向认证场景）等线索 - 配合 Wireshark 抓取 443 端口流量，过滤
tls，观察 Client Hello 是否发出、Server Hello 是否返回、是否在 Certificate 或 Server Key Exchange 阶段中断
