国密浏览器访问失败主因是nginx未正确分发签名与加密双证书——必须在tlcp握手（tlsv1.1）中一次性、按序发送两张独立证书，且需国密增强版nginx支持ssl_certificate_enc等指令。
国密浏览器访问失败，常见原因不是证书没配，而是 Nginx 没把签名证书和加密证书按正确逻辑分发出去——它必须在一次 TLS 握手中，把两套证书都发给客户端，且顺序、格式、协议版本全对。排查重点不在“有没有”，而在“发没发对”。
确认国密浏览器实际收到了哪几段证书
用国密浏览器（如红莲花、密信）访问时，Nginx 实际发送的证书内容，和普通浏览器看到的完全可能不同。不能依赖 SSL Labs 或 Chrome 的报告。
- 在服务器上模拟国密客户端视角：运行 gmssl s_client -connect your-domain.com:443 -showcerts -cipher "ECC-SM4-SM3"（注意是
gmssl，不是 openssl） - 观察输出中
BEGIN CERTIFICATE块的数量与内容：- 第一块必须是签名证书（
Subject=CN=your-domain.com，且Key Usage含digitalSignature） - 第二块必须是加密证书（
Subject相同或为专用加密 CN，Key Usage含keyAgreement） - 不能出现第三块；若含中间 CA 或根证书，说明链被错误拼接进去了
- 第一块必须是签名证书（
- 如果只看到一块，或两块都是同一张证书（比如重复写了 sign.crt），说明 Nginx 根本没启用双证书分发机制
检查 Nginx 是否真正加载并识别了双证书指令
原生 Nginx 不认识 ssl_certificate_enc 和 ssl_certificate_key_enc。这些指令只有国密增强版（如 GmSSL 编译的 Nginx）才支持。
- 确认当前运行的 nginx 可执行文件路径：which nginx，应指向
/usr/local/nginx/sbin/nginx等自编译路径，而非/usr/sbin/nginx - 验证配置语法是否被识别：nginx -t。若报
unknown directive "ssl_certificate_enc"，说明你用的是标准版 Nginx，未重新编译 - 查看启动日志：tail -f /usr/local/nginx/logs/error.log，关注是否有
SSL_CTX_use_certificate_chain_file failed或no certificate returned类提示
验证双证书是否按 TLCP 协议要求响应
国密 TLS（即 TLCP）强制要求：握手必须基于 TLSv1.1，且服务端必须在 Server Certificate 消息中一次性返回签名+加密两张证书。顺序错、缺一、多发都会导致国密浏览器直接断连。
- 确保配置中明确禁用非国密协议：ssl_protocols TLSv1.1;（不是 TLSv1.2/TLSv1.3）
- 确认加密证书私钥确实能被正确加载：用 gmssl rsa -check -in server_enc.key 验证其为有效 SM2 私钥（输出含
SM2 private key） - 签名证书和加密证书的 Subject 必须一致（或符合 CA 签发策略），否则国密浏览器会认为身份不统一而拒绝建立连接
- 避免将签名证书和加密证书混在同一个 PEM 文件里——它们必须由两个独立
ssl_certificate指令分别指定，Nginx 才会在握手时合并发送
排除 CDN、代理或缓存干扰
很多国密访问问题实际发生在中间环节：CDN 回源时只传了 RSA 证书；反向代理层（如另一层 Nginx）覆盖了国密配置；甚至浏览器缓存了上次失败的 SNI 响应。
- 绕过所有中间层，直连 Nginx 服务器 IP + 443 端口测试（修改本地 hosts，用国密浏览器直连）
- 检查 upstream 或 proxy_pass 配置：若 Nginx 充当反向代理，需确认
proxy_ssl_server_name on和proxy_ssl_name已设为后端国密服务域名，否则后端可能返回默认 RSA 证书 - 清除国密浏览器的 TLS 会话缓存（红莲花：设置 → 隐私 → 清除 TLS 缓存；密信：设置 → 安全 → 重置安全状态）
