Nginx国密SSL握手失败需先验证国密能力落地：nginx -V确认链接国密OpenSSL（如GMSSL）、nginx -t检查国密套件是否识别、gmssl s_client实测协商TLSv1.3-SM及ECDHE-SM2-SM4-CBC-SM3等套件，并核验SM2证书公钥标识、私钥格式及模值一致性。
排查 Nginx 中国密 SSL（SM2/SM3/SM4）握手失败，核心在于确认国密能力是否真正落地——Nginx 原生不支持国密，必须依赖国密版 OpenSSL（如 OpenSSL 1.1.1w-gm 或 GMSSL）及对应编译的 Nginx，且服务端、客户端、证书、协议配置需全链路对齐。不能套用常规 TLS 排查逻辑。
确认 Nginx 是否真正支持国密
原生 Nginx（包括主流发行版包）完全不识别国密算法。必须验证两点：
- 运行 nginx -V，检查输出中是否含 --with-openssl= 指向国密 OpenSSL 源码路径，且编译时启用了 enable-gost 或 enable-sm2 等国密选项
- 执行 nginx -t，若报错 unknown directive "ssl_ciphers" with SM2 或 invalid cipher name: ECDHE-SM2-SM4-SM3，说明 OpenSSL 库未正确加载或 cipher 名称不匹配
- 用 openssl version -a 查看实际运行的 OpenSSL 是否为国密分支（输出含 gm、GmSSL 或 SM2 字样）
检查国密证书与私钥是否合规配对
国密证书不是“加个 SM2 标签就能用”。必须严格满足：
- 证书必须由国密 CA 签发，且 SubjectPublicKeyInfo 中算法标识为 id-ecPublicKey + sm2p256v1（非 secp256r1），可用命令验证：
openssl x509 -in cert.pem -text -noout | grep -A2 "Subject Public Key Info" - 私钥必须是 SM2 格式，非 RSA/ECDSA：
openssl ec -in key.pem -text -noout 2>/dev/null | grep "sm2p256v1" - 证书与私钥模值必须一致（国密同样校验 modulus）：
openssl x509 -noout -modulus -in cert.pem | openssl md5
openssl ec -noout -modulus -in key.pem | openssl md5 → 两者输出必须完全相同
验证国密协议与密码套件是否协商成功
国密握手失败极少因网络引起，多因两端能力不交集。需主动探测：
- 使用国密版 OpenSSL 客户端测试（普通 openssl s_client 不支持）：
gmssl s_client -connect yourdomain.com:443 -sm2-id 1234567812345678 -servername yourdomain.com - 观察返回中是否出现：
→ Protocol : TLSv1.3-SM（或 TLSv1.2-SM）
→ Cipher : ECDHE-SM2-SM4-CBC-SM3（或类似国密套件名）
→ Verify return code: 0 (ok) - 若返回 handshake failure 且无 Cipher 行，说明服务端未启用国密套件，或客户端未发送 SM2 ClientHello；此时检查 Nginx 配置中 ssl_ciphers 是否显式包含国密套件（如 ECDHE-SM2-SM4-SM3:SM2-SM4-SM3），且 ssl_protocols 含 TLSv1.2-SM TLSv1.3-SM
排查国密中间链与 OCSP Stapling 兼容性
国密生态中，中间 CA 证书和 OCSP 响应器往往未适配 SM2 签名：
- 用 gmssl s_client -connect yourdomain.com:443 -showcerts -servername yourdomain.com 查看是否完整返回服务器证书 + 国密中间 CA 证书；若只返回一张证书，说明 Nginx 的 ssl_certificate 未拼接国密中间链（需将中间证书追加在 server cert 后）
- 若启用 ssl_stapling on，确保 OCSP 响应器地址（由证书中 Authority Information Access 字段指定）支持国密 HTTPS，并能用 SM2 证书签名响应；否则 Nginx 会静默跳过 stapling 或握手超时
- 临时关闭 stapling 测试：ssl_stapling off;，排除其干扰
