SSL握手失败运维如何处理

SSL/TLS 握手失败是运维中常见的问题，处理时需要先定位阶段和原因，再针对性解决。下面给你一套可落地的排查与处理思路。

一、先确认“失败发生在哪一步”

SSL 握手大致流程：

1. Client Hello（客户端发协议/加密套件）
2. Server Hello（服务端选算法）
3. 证书交换 / 验证
4. 密钥协商
5. 握手完成

常见现象对应阶段：

• 连接直接断开 → 网络/端口/协议不支持
• 证书报错（不受信任/过期） → 证书问题
• 协议不匹配（无共同 cipher） → 配置问题
• 超时 → 网络或性能问题

二、快速排查清单（从外到内）

1. 网络与端口

telnet domain 443
# 或
nc -vz domain 443

• 不通：防火墙、安全组、SLB、Nginx 监听问题
• 通但握手失败：继续往下

2. 用工具看详细错误

openssl s_client -connect domain:443 -servername domain

重点看：

• Verify return code
• SSL-Session 中协议版本
• 是否返回证书

三、常见原因及处理方法

1️⃣ 证书问题（最常见）

表现：

• 证书过期
• 证书链不完整
• 域名不匹配（SAN 缺失）
• 自签名证书未信任

处理：

• 检查有效期：

openssl x509 -in cert.pem -noout -dates

• 补全中间证书（chain）
• 确认证书 CN / SAN 包含访问域名
• CA 证书未同步（尤其内网 CA）

2️⃣ 协议或加密套件不匹配

表现：

• 老客户端连新服务器
• 服务端禁用了 TLS1.0/1.1

处理：

• 查看支持的协议：

nmap --script ssl-enum-ciphers -p 443 domain

• 服务端（Nginx 示例）：

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;

• 客户端太老 → 升级或加兼容配置（安全与兼容权衡）

3️⃣ SNI 配置问题

表现：

• 多域名共用 IP，访问错误证书

处理：

• 客户端必须发 SNI
• 服务端按 server_name 配置证书
• 测试：

openssl s_client -connect ip:443 -servername domain

4️⃣ 中间设备干扰

表现：

• 直连正常，经 CDN / WAF / 负载均衡失败

处理：

• 检查 CDN/WAF 回源协议
• 回源是否 HTTPS？证书是否可信？
• 是否有证书拦截（企业代理）

5️⃣ 时间不同步

表现：

• 证书“未来生效”或“已过期”

处理：

date
ntpdate -u ntp.aliyun.com

6️⃣ 性能或资源问题

表现：

• 握手超时
• 高并发时失败

处理：

• 查看 CPU、fd、内存
• 检查 SSL session 复用
• 调整 backlog / worker

四、典型场景速查表

五、运维建议（防复发）

• 证书集中管理 + 自动续期（ACME）
• 监控证书到期（<30天告警）
• 定期 sslscan / testssl.sh
• 变更前后对比握手结果

如果你愿意，可以贴：

• 具体错误信息（curl / 浏览器 / 日志）
• 服务端类型（Nginx / Tomcat / LB）
• 客户端环境

我可以帮你精确判断是哪一类握手失败。