tls-handshake-failed

TLS 握手失败的定位与修复

现象

客户端报 SSL_ERROR、tls: handshake failure、no shared cipher、certificate verify failed 或连接直接断开。浏览器可能显示“无法建立安全连接”。

快速定位

openssl s_client -connect <host>:443 -servername <host>
openssl s_client -connect <host>:443 -servername <host> -tls1_2
curl -v https://<host>/
openssl x509 -in cert.pem -noout -subject -issuer -dates
nmap --script ssl-enum-ciphers -p 443 <host>
date -u

常见根因

证书过期、域名不匹配或证书链不完整。
客户端不信任签发 CA，或系统 CA 库过旧。
客户端和服务端支持的 TLS 版本/加密套件没有交集。
未发送 SNI，服务端返回了错误证书。
系统时间偏差过大，证书校验失败。
中间代理、WAF 或抓包工具替换了证书。

修复

用 s_client 看握手停在哪一步、返回什么 alert。
更新证书、补中间证书、确认 subjectAltName 包含访问域名。
调整服务端最低 TLS 版本和套件，兼顾老客户端安全。
客户端补 CA 或使用正确的 --cacert，更新系统信任库。
校准时间；检查代理和 WAF 是否拦截或重签。
用在线/本地工具验证完整证书链和到期时间。

相关命令

openssl — 握手与证书检查
curl — HTTPS 验证
nmap — 协议与套件枚举

读完自测

合上页面，先回答，再展开对照。

curl -k 能通但浏览器报证书错误，常见原因有哪些？
如何判断握手失败是 TLS 版本/套件没有交集？
系统时间偏差会导致 TLS 握手失败吗？

答案

常见于证书过期、域名不匹配、证书链不完整，或客户端不信任签发 CA。可核对 subjectAltName 并补中间证书。
用 openssl s_client -connect <host>:443 -servername <host> 看握手停在哪一步。再用 -tls1_2 或 nmap --script ssl-enum-ciphers 验证版本与套件。
会。证书校验依赖时间，页面把“系统时间偏差过大”列为根因。可用 date -u 检查并校准时间。