Nginx 中怎么配置 access_log 记录 SSL 握手失败的客户端详细特征-Nginx-PHP中文网

nginx 默认 access_log 不记录 ssl 握手失败请求，因 tls 未完成时 http 请求未发送；需启用 error_log debug 级别捕获客户端 ip、tls 版本、sni 及失败原因，但日志量大，仅宜临时排查。

nginx 中怎么配置 access_log 记录 ssl 握手失败的客户端详细特征

Nginx 默认的 access_log 不会记录 SSL 握手失败的请求，因为这类请求在 TLS 握手完成前就已中断，HTTP 请求行和头都未发送，Nginx 无法生成标准 access log 条目。要捕获 SSL 握手失败的客户端特征（如 IP、端口、TLS 版本、SNI、Client Hello 中的 cipher suites 等），需借助 error_log 配合调试日志级别，或使用 openssl s_client + tcpdump / Wireshark 抓包分析 —— 但这些不在 Nginx 配置范围内。

启用高精度 SSL 错误日志（最接近的内置方案）

Nginx 可通过提升 error_log 级别并开启 SSL 调试，记录握手失败时的客户端 IP、协议版本、SNI 域名（若已发送）、以及失败原因（如不支持的协议、证书不匹配、ALPN 协商失败等）：

在 nginx.conf 的 http 或 server 块中设置：

error_log /var/log/nginx/ssl_error.log debug;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
ssl_prefer_server_ciphers off;

⚠️ 注意：debug 级别会产生大量日志，仅建议临时开启排查；生产环境应改回 warn 或 error。

握手失败时，典型 error_log 条目类似：

2024/05/20 10:23:41 [info] 12345#12345: *6789 client 192.168.1.100:54321 connected to 0.0.0.0:443
2024/05/20 10:23:41 [debug] 12345#12345: *6789 SSL_do_handshake: -1
2024/05/20 10:23:41 [debug] 12345#12345: *6789 SSL_get_error: 5
2024/05/20 10:23:41 [info] 12345#12345: *6789 SSL handshake failed (OpenSSL returned SSL_ERROR_SSL) while SSL handshaking, client: 192.168.1.100, server: 0.0.0.0:443
2024/05/20 10:23:41 [debug] 12345#12345: *6789 SSL alert: 1:40 — no protocols available

该日志可提取：客户端 IP（client:）、端口、失败类型（如 no protocols available 表示 TLS 版本不兼容）、甚至部分 SNI（若 Nginx 已解析到）。

Accessibility Review

对设计或页面进行 WCAG 2.1 AA 无障碍审计。触发关键词：“audit accessibility”、 “check a11y”、 “is this accessible?” 或在审查设计时使用。

下载

用 ngx\_http\_realip\_module + 自定义变量增强识别

如果前端有负载均衡（如 AWS ALB、Cloudflare），真实客户端 IP 可能被隐藏。确保正确配置 set_real_ip_from 和 real_ip_header，使 $remote_addr 准确反映源 IP —— 这是 error_log 中 client: 字段的基础。

例如，接收 X-Forwarded-For 时：

set_real_ip_from 10.0.0.0/8;
real_ip_header X-Forwarded-For;

替代方案：用 OpenSSL 或 tcpdump 主动探测

若需完整 Client Hello（含 cipher suites、extensions、signature algorithms），必须在 TCP 层捕获：

用 tcpdump 抓取 TLS 握手初始包（Client Hello）：

tcpdump -i any -nn -s 0 port 443 and 'tcp[((tcp[12:1] & 0xf0) >> 2):1] = 0x16' -w ssl_handshake.pcap

然后用 Wireshark 或 openssl s_client -msg 模拟并观察响应。这不是 Nginx 配置，但能获取最全的客户端特征。

小结：Nginx 本身不支持 access_log 记录握手失败

它没有对应的日志变量（如 $ssl_protocol 在握手失败时为空），也无法在 HTTP 日志阶段介入。唯一可行路径是：开启 error_log debug，筛选含 SSL handshake failed 的行，并结合 $remote_addr 和错误码反推客户端能力限制。真正需要深度指纹（如 JA3 hash）时，应引入专用 TLS 代理（如 sniproxy、mitmproxy）或 eBPF 工具（如 bpftrace）。