排查nginx tls握手失败需先确认是否在握手阶段中断，再通过错误日志（如“handshake failure”）、ssl_protocols/ciphers配置、openssl模拟测试及tcpdump抓包交叉验证协议或密码套件不兼容。
排查客户端不支持 TLS 协议导致的 Nginx 握手失败，核心是确认连接在 TLS 握手阶段中断，并定位到具体是哪一版 TLS（如 TLS 1.0/1.1 被禁用，而客户端只支持这些）或密码套件不兼容。Nginx 本身不直接记录详细的 TLS 握手日志，需结合错误日志、SSL 配置、客户端能力及辅助工具交叉验证。
查看 Nginx 错误日志中的关键线索
Nginx 在 TLS 握手失败时通常会在 error_log 中留下提示，重点关注以下几类信息：
- "SSL_do_handshake() failed"：泛指出错，需结合上下文；
- "SSL alert: SSL alert number 40 / 70"：alert 40 表示 "handshake failure"，70 是 "unknown CA"（非本问题重点），但 40 出现且无证书相关报错，大概率是协议或密钥交换不匹配；
- "no protocols available" 或 "no ciphers available"：说明 Nginx 配置的 TLS 版本范围或 cipher list 与客户端完全无交集；
- 日志中出现客户端 IP + “SSL_shutdown() failed” 或反复重连但无 HTTP 请求行：典型握手未完成特征。
检查 Nginx 的 SSL/TLS 配置是否过于严格
常见误配会主动拒绝老旧但仍在使用的客户端（如 Windows 7 IE11、Android 4.x、部分 IoT 设备）：
-
确认
ssl_protocols：若只写了TLSv1.2 TLSv1.3，则不支持 TLS 1.2 的客户端（如仅支持 TLS 1.0/1.1 的旧系统）必然失败；如需兼容，可酌情保留TLSv1.1（注意 PCI DSS 等合规要求）； -
检查
ssl_ciphers：过度精简（如仅含ECDHE-ECDSA-AES256-GCM-SHA384）会排除不支持 ECDSA 或 AES-GCM 的客户端；建议使用经验证的兼容列表，例如 Mozilla 推荐的 Intermediate 配置； -
留意
ssl_prefer_server_ciphers on：开启后由服务端主导 cipher 选择，若配置不当更易失配；一般建议保持开启以增强安全性，但需确保 cipher list 覆盖足够广。
用 OpenSSL 命令模拟客户端行为验证
在服务器或可控环境中，用 openssl s_client 指定不同 TLS 版本和 cipher 主动测试，快速复现问题：
- 测试 TLS 1.2 是否可达：
openssl s_client -connect example.com:443 -tls1_2； - 强制只用老 cipher 测试兼容性：
openssl s_client -connect example.com:443 -tls1_2 -cipher 'AES128-SHA'； - 若返回
SSL handshake has read 0 bytes and written 0 bytes或直接断开，且服务端日志出现 handshake failure，基本确认协议/密码不匹配； - 对比成功与失败请求的
ServerHello内容（加-debug参数）可看到服务端实际协商的协议版本和 cipher，与客户端支持范围比对。
借助 Wireshark 或 tcpdump 抓包分析（进阶）
当日志和 OpenSSL 测试仍无法定位时，抓取 TLS 握手原始流量最可靠：
- 在 Nginx 服务器执行：
tcpdump -i any -w tls.pcap port 443 and host [client_ip]； - 用 Wireshark 打开，过滤
tls，关注 ClientHello → ServerHello 流程； - 若 ClientHello 中 advertised versions 为
TLS 1.0，而 ServerHello 未响应（或响应 Alert 40），说明 Nginx 拒绝了该版本； - 观察 ClientHello 的 cipher suites 列表，与 Nginx 配置的
ssl_ciphers求交集——若为空，则必失败。
不复杂但容易忽略：很多“握手失败”实际源于客户端根本没发 ClientHello（如防火墙拦截、SNI 不匹配、IP 被限），所以先确认 TCP 连接能建，再聚焦 TLS 层。把 error_log 级别设为 info 或 debug（编译时需含 --with-debug）能获得更细粒度的 SSL 状态输出，是定位这类问题的关键一步。
