error_log /var/log/nginx/error.log info; openssl s_client -connect example.com:443 -servername example.com -tls1_2
错误日志里反复出现 SSL_do_handshake() failed (SSL: error:...)，后面没有协议版本也没有证书信息，只能看出握手失败了。先别急着动参数，把报错原文和时间点记下来，顺序反了容易白折腾。
原因不复杂，nginx 默认日志级别是 error，握手阶段的细节要 info 级别才打出来，客户端主动断开也会记成同一句。不调级别只能盲猜。
「SSL_do_handshake 失败」改完先别急着全量，挑一台机器放半天，真有问题这段时间就能看出来。备份不是备了就行，恢复一次才算数，很多备份文件打开才发现是空的。
接口问题先分清是没发出去、发出去了没收到，还是收到了处理失败。偶发问题先统计频率，一小时几次和一天一次，查法完全不同。
处理上按这个顺序：临时把 error_log 调到 info，复现一次，看握手停在哪一步，抓完立刻改回；用 openssl s_client 从外部连一次，报错比服务端日志更具体；确认没有误开 ssl_verify_client 把正常客户端挡在握手阶段。
改完只确认一件事：日志里能看到 protocol 和 cipher 字段，能判断是版本不匹配还是证书被拒。