本质是新链路中客户端、中间节点或服务端在tls版本、密钥交换或加密套件上协商失败；需聚焦切换引入的新组件，通过强制tls 1.3测试、抓包比对、中间设备日志及证书签名算法验证定位根因。
流量切换后出现 TLS 1.3 握手失败，本质是新链路的客户端、中间节点或服务端在协议协商环节无法就 TLS 版本、密钥交换机制或加密套件达成一致。这不是“连不上”，而是“说不同语言”。排查需聚焦切换引入的新组件（如新 CDN、新网关、新 LB、新证书、新 TLS 配置），而非复盘旧链路。
确认新路径是否真正启用 TLS 1.3
流量切换常伴随基础设施变更，但实际协商版本可能仍为 TLS 1.2，甚至降级到 1.1。不能只看配置，要看真实握手。
- 用 curl -v --tlsv1.3 https://your-domain.com 强制发起 TLS 1.3 请求，观察是否返回
* ALPN, offering h2和* SSL connection using TLSv1.3；若报错SSL_ERROR_PROTOCOL_VERSION或 fallback 到 1.2，则服务端未开启或未正确暴露 TLS 1.3 支持 - 在新链路出口节点（如 CDN 回源日志、API 网关 access log）检查
$ssl_protocol（Nginx）或等效字段，确认实际协商结果 - 对比切换前后 Wireshark 抓包中的 ClientHello → ServerHello 流程：TLS 1.3 的 ServerHello 后不带 CertificateRequest，且紧接着就是 EncryptedExtensions，若结构不符，说明服务端未按 TLS 1.3 协议响应
检查中间设备是否拦截或降级 TLS 1.3
防火墙、WAF、负载均衡器、代理网关等中间件若未升级，会主动终止 TLS 1.3 握手或强制降级。
- 查看中间设备日志中是否含
tls13_not_supported、no common cipher、handshake_failure alert等关键词 - 验证设备固件/软件版本：F5 BIG-IP 14.1+、AWS ALB/NLB（支持 TLS 1.3 自 2021）、Cloudflare 默认启用、腾讯云 EO 要求源站支持 TLS 1.2+，但部分老版 WAF 会静默拦截 TLS 1.3 扩展（如
key_share） - 临时绕过中间层直连源站测试：若直连成功而经中间层失败，问题必在中间设备策略或兼容性
验证证书与密钥交换机制是否匹配 TLS 1.3 要求
TLS 1.3 移除了 RSA 密钥传输和静态 DH，仅支持 ECDHE 或 (实验性) PQC 密钥交换，且要求证书签名算法为 ECDSA 或 RSA-PSS。
- 运行 openssl s_client -connect your-domain.com:443 -tls1_3 -servername your-domain.com -debug 2>/dev/null | grep -i "server key exchange\|signature algorithm"，确认服务端返回的是
ecdh params而非rsa encryption - 检查证书签名哈希：TLS 1.3 不接受 SHA-1 签名的证书；用 openssl x509 -in cert.pem -text -noout | grep "Signature Algorithm" 确认为
sha256WithRSAEncryption或ecdsa-with-SHA384等安全算法 - 若使用自签名或私有 CA 证书，确保客户端信任库已更新——TLS 1.3 对证书链完整性更敏感，缺失中间证书会导致握手在 CertificateVerify 阶段中断
比对客户端 TLS 1.3 兼容性清单
不是所有客户端都默认启用 TLS 1.3，尤其企业环境或老旧系统。
- Java 应用：JDK 8u291+ 默认启用 TLS 1.3；低于此版本需显式添加
-Djdk.tls.client.protocols=TLSv1.3并确认java.security中未禁用jdk.tls.disabledAlgorithms - Node.js：v18.1.0+ 默认启用；v16.x 需加
--tls-min-v1.3启动参数 - 微信小程序：iOS/Android 微信 8.0.44+ 强制 TLS 1.2+，但若服务端仅提供 TLS 1.3 且无降级能力，部分低版本 WebView 可能失败；建议服务端保留 TLS 1.2 兼容
- 浏览器：Chrome 70+/Firefox 63+/Edge 79+ 支持，但企业组策略可能禁用；用 chrome://flags/#tls13-variant 检查是否被覆盖
