客户端https连接失败且nginx access_log无记录，说明tls握手阶段已中断，需查error_log中ssl_do_handshake() failed及“version too low”等提示，确认是否因ssl_protocols配置过严导致旧客户端（如tlsv1.0/1.1）被拒，再通过debug日志、openssl s_client验证并调整ssl_protocols与ssl_ciphers。
遇到客户端连不上 HTTPS 服务、浏览器提示“Secure Connection Failed”或 App 报 SSL 握手失败，而 Nginx 的 access_log 里压根没记录请求——这大概率是 TLS 握手阶段就中断了，不是 HTTP 层问题，得直奔 error_log 查。
看 error_log 锁定是不是协议版本问题
打开 /var/log/nginx/error.log，找带 SSL_do_handshake() failed 的行，并重点看紧邻的上下文：
- 如果出现
while SSL handshaking, client: xxx.xxx.xxx.xxx（没有to upstream），说明是客户端连 Nginx 失败，方向对了 - 如果日志里有
no protocols available或version too low，基本可确认是客户端 TLS 版本低于 Nginx 允许的最低版本 - 若错误码是
error:1417D18D（version too low），就是明确提示：客户端只支持 TLSv1.0 或 TLSv1.1，但 Nginx 配了ssl_protocols TLSv1.2 TLSv1.3，直接拒连
临时开 debug 日志，看清客户端实际用了哪个版本
默认日志不显示客户端 TLS 版本。需在 http 或 server 块中加一行：
重启 Nginx 后复现请求，日志里会出现类似：
SSL: client TLS version: TLSv1.0或
注意：debug 日志量极大，定位后务必关掉，别长期开着。
检查并调整 ssl_protocols 配置
翻你当前的 Nginx server 块配置，重点看这一行：
ssl_protocols TLSv1.2 TLSv1.3;如果业务仍需兼容旧设备（如 Windows Server 2008、IE11、Android 4.x），就得放宽限制：
- 加回 TLSv1.1：
ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3; - 极端情况（如嵌入式设备）可能还需 TLSv1.0，但不推荐，仅作临时验证
- 别只改
ssl_protocols，还要同步检查ssl_ciphers——某些新套件（如 TLS_AES_128_GCM_SHA256）只在 TLSv1.3 生效，老客户端根本识别不了
用 openssl s_client 模拟低版本客户端验证
别猜，直接测：
- 模拟 TLSv1.1 客户端：
openssl s_client -connect yourdomain.com:443 -tls1_1 -servername yourdomain.com - 模拟 TLSv1.0：
openssl s_client -connect yourdomain.com:443 -tls1 -servername yourdomain.com - 如果返回
Verify return code: 0 (ok)且有完整握手流程，说明该版本已通；如果报handshake failure或直接退出，就是版本被挡住了
配合 grep "Protocol\|Cipher" 还能确认协商出的实际协议和套件，比看文档靠谱得多。
