WAF SSL握手拦截排查指南：从卡住到恢复的完整操作
症状与检查：先确认是不是WAF在捣乱
当网站启用WAF后，
访问者突然遇到“ERR_SSL_PROTOCOL_ERROR”、
“SSL连接失败”或浏览器直接显示“不安全”且页面加载不出来，同时网站后台WAF日志中有SSL握手相关拦截记录，
基本可以断定是WAF SSL握手拦截。
检查步骤：
- 打开WAF管理面板，查看“拦截日志”或“安全事件”。
- 筛选关键词：
SSL、handshake、TLS。如果看到WAF判定为“SSL协议异常”或“握手特征匹配”而拦截，说明问题在WAF层。 - 临时关闭WAF（仅限测试，不要在正式环境长时间关）——如果关闭后网站HTTPS恢复正常，就能确认是WAF导致的SSL握手拦截。
常见原因：WAF为什么要拦SSL握手？
WAF不是故意为难你，它是基于预设规则判断“异常连接”。
常见触发原因有：
- 证书不完整或链缺失：WAF验证SSL证书链时发现中间证书缺失，判定为不可信。
- TLS版本过低或过高：WAF只允许TLS 1.2/1.3，而你服务器或客户端用了TLS 1.0/1.1。
- SSL握手特征被误判：某些请求携带的Client Hello包特征与攻击流量相似（例如包含恶意SNI或异常密码套件）。
- 端口/协议不匹配：后端只监听80端口，但WAF强制走443，导致握手跳转子协议失败。
逐项排除：从简单到复杂的修复顺序
1. 检查并补全证书链
很多云WAF要求源站提供完整证书链（包含中间证书）。
在服务器上用命令查看：
openssl s_client -connect yourdomain.com:443 -showcerts /dev/null | grep -A 100 "Certificate chain"如果只出现一级证书，说明缺中间证书。
去证书提供商下载CA Bundle文件，在服务器配置中将证书文件与中间证书合并。
Nginx示例：
ssl_certificate /etc/nginx/ssl/yourdomain.pem; # 合并后的文件
ssl_trusted_certificate /etc/nginx/ssl/ca-bundle.crt;重启Nginx即可。
2. 调整TLS协议版本
WAF规则可能限制最低TLS版本。
在源站Nginx中配置允许的版本：
ssl_protocols TLSv1.2 TLSv1.3;注意不要包含TLSv1.0和TLSv1.1，这些已被废弃且安全性差。
同时确认WAF侧设置的“HTTPS回源” SSL/TLS版本与源站一致。
3. 检查WAF规则并添加白名单
登录WAF控制台，找到“自定义规则”或“黑白名单”。
如果误拦截的是特定客户端或API，可以：
- 添加URI白名单（例如
/api/*或/callback）。 - 添加User-Agent白名单（仅针对真实测试设备）。
- 调整WAF检测模式从“拦截”改为“观察”先收集日志，确认无误后再改回拦截。
4. 确认端口与协议匹配
确保源站监听443端口且支持HTTPS，WAF回源协议也选择HTTPS。
如果源站只有HTTP，需要先在源站部署证书并监听443。
可在服务器执行：
ss -tlnp | grep 443看看Nginx或Apache是否在监听。
避坑要点：这些操作千万别做
- 永远不要长时间关闭WAF来规避SSL问题——这等于放弃保护。
- 不要直接禁用WAF的SSL检测功能（如有），除非你很清楚风险。建议通过精准白名单放过特定请求。
- 不要随意更换证书而不检查链完整性——很多SSL握手失败是证书链不完整引起的。
- 不要在源站同时启用HTTP和HTTPS混合回源，容易导致WAF握手逻辑混乱。
验证与后续监控
完成修改后依次做以下验证：
- 浏览器访问网站，应正常显示小绿锁，无SSL错误。
- 使用在线SSL检测工具（如myssl.com）检查证书链、TLS版本和握手成功率。
- 持续观察WAF拦截日志，确保没有新增SSL拦截记录。如果还有拦截，检查是否还有未排查到的规则。
- 模拟异常请求测试：使用curl带特定TLS版本或密码套件：
curl --tlsv1.2 --ciphers 'ECDHE-RSA-AES128-GCM-SHA256' https://yourdomain.com -v预期应得到200 OK。
如果一切正常，那么WAF SSL握手拦截问题已经解决。
记住，核心是让WAF和源站双方的SSL配置保持一致，并定期检查证书有效期和规则变更。
