tcpdump+wireshark是观察tls握手最底层、最可靠的方式，因clienthello、serverhello等关键报文以明文承载于tcp包中；需用-i any -nn -s 0精准抓包，wireshark中过滤tls定位报文，结合openssl验证异常。
直接用 tcpdump 抓包 + Wireshark 分析 是观察 TLS 握手全过程最底层、最可靠的方式——因为握手发生在加密层之下，所有 ClientHello、ServerHello、Certificate、Alert 等关键报文都以明文形式承载在 TCP 包中，不受应用层加密影响。
一、用 tcpdump 正确抓取 TLS 握手流量
关键不是“能不能抓到”，而是“抓得全不全、准不准”。必须带齐三个核心参数：
-
-i any：监听所有接口（含 loopback），避免漏掉本地测试流量；也可指定为
-i eth0或-i lo（本地回环） - -nn：禁用域名和端口解析，防止 DNS 查询干扰，也避免把 443 显示成 https
-
-s 0：捕获完整数据包（snaplen=0），否则 TLS 扩展字段（如 SNI、ALPN、密钥共享）可能被截断，Wireshark 里会显示
[|tls]
常用命令示例：
- 抓指定服务的 HTTPS 流量：
sudo tcpdump -i any -nn -s 0 -w tls-handshake.pcap host 203.0.113.10 and port 443 - 限制数量防文件过大：
sudo tcpdump -i any -nn -s 0 -c 200 -w tls-handshake.pcap port 443 - 只抓本机发起的出向握手（排除服务端响应干扰）：
sudo tcpdump -i any -nn -s 0 -w client-hello.pcap src host 192.168.1.50 and port 443
二、在 Wireshark 中定位和解读 TLS 握手报文
打开 .pcap 文件后，顶部过滤栏输入 tls（或 ssl，旧版本兼容），聚焦以下三类关键报文：
-
ClientHello（客户端发起）：检查是否含
server_name（SNI）扩展。若缺失，多域名服务（如 Nginx stream 代理）无法匹配证书，常直接返回 Alert -
ServerHello / Certificate（服务端响应）：确认是否返回、证书链是否完整（尤其看是否有中间 CA）、是否携带
key_share（TLS 1.3 必需） -
TLS Alert（失败信号）：展开看
Level = Fatal+Description，典型值包括：
•handshake_failure：协议版本或密码套件无交集
•unknown_ca：mTLS 场景下客户端证书不被服务端信任
•bad_certificate：证书格式错误、过期或签名无效
•internal_error：服务端解析 ClientHello 失败（常见于非法 SNI 或扩展）
三、结合 openssl 快速交叉验证
抓包发现异常后，别只盯着图形界面，用命令行复现并比对行为：
- 强制指定 SNI 和 TLS 版本测试：
openssl s_client -connect api.example.com:443 -servername api.example.com -tls1_2 -debug - 查看服务端实际下发的证书链（含中间证书）：
openssl s_client -connect api.example.com:443 -showcerts 2>/dev/null | openssl crl2pkcs7 -nocrl -outform PEM | openssl pkcs7 -print_certs -noout - Java 应用是否发 SNI？加 JVM 参数运行：
java -Djavax.net.debug=ssl:handshake TestHttps，搜索日志中是否有server_name字段
四、典型现象与快速归因线索
不用逐帧分析，看整体模式就能缩小范围：
- 只有 ClientHello，后续无任何 ServerHello 或 Alert → 不是 TLS 问题，是 TCP 层阻断：防火墙丢 SYN、服务未监听、路由不可达
- ClientHello 含 SNI，ServerHello 后紧接 Alert（Description=handshake_failure）→ 协议/套件不兼容：例如客户端只支持 TLS 1.3，服务端仅启用 TLS 1.2 且无共用密码套件
- ClientHello 无 SNI，ServerHello 后返回 Alert（Description=internal_error）→ SNI 缺失触发服务端解析失败，常见于 Envoy、某些 TLS 终止代理配置
- ClientHello 后收到 RST 而非 Alert → 连接被主动重置，可能是 iptables DROP、云厂商安全组拦截，或服务进程崩溃
