核心是先看日志上下文锁定握手方向：含“to upstream”为nginx连后端失败，含“client: xxx”为客户端连nginx失败；再结合openssl错误码精准定位，如1408f10b为协议错配、14094410为sni缺失或套件不匹配、14209102为tls版本不兼容。

排查 Nginx TLS 握手失败，核心不是翻遍日志，而是快速定位“谁在跟谁握手”以及“卡在哪一步”。错误本身（如 SSL_do_handshake() failed）只是表象，真正线索藏在它前后的上下文和 OpenSSL 错误码里。

看日志上下文，先分清握手方向

打开 /var/log/nginx/error.log，不要只盯那行失败提示，重点看紧挨着它的文字：

• 出现 while SSL handshaking to upstream → Nginx 是客户端，问题出在它连后端服务（比如 Java API、Kibana、云厂商接口）时失败
• 出现 while SSL handshaking, client: xxx.xxx.xxx.xxx（无 upstream 字样）→ Nginx 是服务端，问题出在浏览器、App 或脚本连接你这台服务器时失败

方向错了，后续所有操作都白忙。线上多数故障属于前者，但很多人一上来就重配证书，绕远路。

抓关键 OpenSSL 错误码，直击协议层

错误行后面通常跟着一串十六进制码，这才是精准定位的依据：

• error:1408F10B（wrong version number）→ 后端实际没开 HTTPS，Nginx 却用 https:// 去连；或客户端把 HTTPS 请求发到了 HTTP 端口
• error:14094410（handshake failure）→ SNI 缺失（尤其多域名后端）、密码套件无交集、或服务端要求客户端证书但未提供
• error:14209102（unsupported protocol）→ TLS 版本不匹配，比如 proxy_ssl_protocols 只允许 TLSv1.2，但后端只支持 TLSv1.3
• error:141CF06C（bad key share）→ TLS 1.3 密钥交换失败，常见于后端 OpenSSL 或 JDK 版本太老（如 JDK 8u2XX 以下）
• error:14094085（ccs received early）→ proxy_ssl_session_reuse 复用了已失效的会话（如后端重启、证书轮换、负载节点不一致）

针对性验证，别靠猜

光看日志不够，得用工具主动触发并比对：

linux-sysadmin

Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...

下载

• 如果是 to upstream 类型：用 curl -v http://ip:port 和 curl -v https://ip:port 分别测试，确认后端真实监听协议；若后端是多域名 HTTPS，必须加 proxy_ssl_server_name on; 和 proxy_ssl_name "api.example.com";
• 如果是 client: xxx 类型：运行 openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -showcerts，检查是否完整返回证书链；再试 openssl s_client -connect yourdomain.com:443 -tls1_2 -cipher 'ALL:eNULL'，看是否有可用 cipher 输出
• 怀疑是明文响应冒充 TLS：用 tcpdump -i any 'tcp port 443 and (tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x160301)' 抓 ClientHello，观察后续是否只有 RST/FIN 而无 Certificate 或 ServerHelloDone

临时开启 debug 日志，获取协商细节

默认 error_log 级别看不到握手过程。需在 http 或 server 块中添加：

error_log /var/log/nginx/ssl_debug.log debug;

重启 Nginx 后复现请求，日志中会出现类似：

SSL: client TLS version: TLSv1.0 或 SSL: no ciphers enabled for TLSv1.1

注意：debug 日志量极大，仅用于短时排查，定位后务必降级（如改为 warn 或 error），避免磁盘被撑爆。