SSL 핸드셰이크 실패: 11가지 원인과 해결 방법
· CSR.plus 팀
- •핸드셰이크 실패는 거의 항상 11가지 원인 중 하나입니다: 인증서, 암호, SNI, 프로토콜 또는 네트워크 계층.
- •순서대로 진단: 만료, 호스트명 일치, 체인 완전성, 그 다음 TLS 버전과 암호.
- •대부분의 핸드셰이크 실패는 올바른 중간 체인 또는 지원되는 암호 스위트로 해결됩니다.
핸드셰이크가 실패할 때 실제로 일어나는 일
TLS 핸드셰이크 중 클라이언트와 서버는 프로토콜 버전, 암호 스위트, 유효한 인증서 체인에 동의해야 합니다. 어느 단계에서든 실패하면 연결이 중단됩니다. 흔한 실패 지점: 인증서 만료, 인증서가 커버하지 않는 호스트명, 불완전한 체인(서버가 중간 없이 리프만 전송), 미지원 TLS 버전, 암호 불일치, SNI 누락, ClientHello를 버리는 방화벽/NAT.
1분 안에 진단하기
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com을 실행하고 출력을 읽으세요. "Verify return code: 0"이면 체인이 정상. "unable to get local issuer certificate"는 중간 인증서 누락을 의미. "no peer certificate available" 또는 CONNECTED 후 빈 줄은 서버가 핸드셰이크를 완료하지 않았음을 뜻합니다 — 프로토콜 또는 암호 문제. 브라우저 콘솔 오류가 클라이언트 측 관점을 보완합니다.
가장 빈번한 5가지 원인 수정
1) 중간 인증서 누락: CA 번들을 받아 리프+중간을 올바른 순서로 연결. 2) 암호 불일치: TLS_AES_256_GCM_SHA384(TLS 1.3) 또는 ECDHE-RSA-AES256-GCM(TLS 1.2) 같은 공통 스위트 활성화. 3) TLS 버전: 서버에서 TLS 1.2와 1.3을 활성화하고 그 이하는 비활성화. 4) 호스트명/SNI: 인증서가 정확한 호스트명을 포함하고 SNI가 활성화되어 있는지 확인. 5) 네트워크: 443 포트가 열려 있고 로드밸런서나 CDN이 자체 설정으로 TLS를 종료하지 않는지 확인.
FAQ
브라우저에서는 핸드셰이크가 실패하는데 curl에서는 성공하는 이유는?
클라이언트마다 지원하는 TLS 버전과 암호 스위트가 다릅니다. curl은 되는데 구형 브라우저에서 실패하면 클라이언트가 협상된 버전을 지원하지 않는 것입니다 — 최소 TLS 1.2를 활성화하세요.
방화벽이 핸드셰이크 실패를 일으킬 수 있나요?
네. 일부 방화벽과 NAT는 큰 ClientHello 패킷을 조용히 버리거나 TCP 포트를 차단합니다. 비표준 포트나 패킷 캡처로 확인하세요.
UptimeRobot
SSL과 가동 시간을 무료로 모니터링
UptimeRobot이 인증서와 엔드포인트를 24시간 감시합니다——무료 플랜에 모니터 50개.
제휴 링크——추가 비용 없이 저희가 커미션을 받을 수 있습니다.
무료 SSL/TLS 도구
몇 초 만에 인증서를 검증하고 검사하세요.