把失败形态归类
握手失败的形态是有限的，可以按表现归成几类：完全没有响应直到超时（链路过滤或服务未监听）、握手刚开始就被重置（协议不匹配或策略拒绝）、带着版本相关告警失败（版本被禁用）、带着未识别名称告警失败（该站点未在这台服务上配置）、以及连接卡在中途（中间设备缓冲或链路丢包）。按形态对号入座，配合「失败发生在第几个消息、告警码、两侧时间差」三项记录，通常能很快收窄范围。
基本信息
| 适用平台 | Wireshark / tshark，客户端与服务端两侧均可观察 |
|---|---|
| 关键字段 | tls.alert_message.desc、握手消息类型与顺序 |
| 记录口径 | 失败发生在第几个消息、告警码、两侧时间差 |
| 对照价值 | 失败点比最终表象更有信息量 |
典型使用场景
- 用户报「网站打不开」时快速区分是链路、版本还是配置问题
- 批量排查多个站点的兼容性失败原因
- 定位偶发失败是否与服务轮换或负载变化相关
- 为跨团队工单提供分类明确的失败形态
- 验证策略调整后失败形态是否随之改变
- 梳理存量站点的握手配置风险点
复盘口径
复盘口径
tls.alert_message # 所有握手告警
tls.handshake.type == 1 # 失败前最后一个客户端消息
tcp.flags.reset == 1 # 是否被重置而非正常报错
# 记录三项: 失败发生在第几个消息 + 告警码 + 两侧时间差
# 无告警且超时的样本，重点核对链路过滤与服务监听状态形态对照读法
| 表现 | 常见原因 | 下一步 |
|---|---|---|
| 无响应直到超时 | 链路过滤或服务未监听 | 核对端口可达性与监听状态 |
| 握手初立即被重置 | 协议不匹配或策略拒绝 | 查版本套件与访问策略 |
| 携带版本类告警 | 版本被禁用 | 对齐两端允许的版本范围 |
| 携带未识别名称告警 | 该站点未配置 | 补该域名的站点配置 |
| 连接卡在中途 | 中间设备缓冲或丢包 | 查链路质量与设备行为 |
同一现象在不同中间设备下原因可能不同，因此失败发生的位置比最终看到的表象更有诊断价值。
偶发失败要按时间分布看是否与负载变化或服务轮换相关，单次样本无法支撑结论。