使用 Cloudflare 优选 IP 后出现 525 SSL 握手失败如何解决

525 错误本质是 Cloudflare 边缘节点与你的源服务器之间 SSL 握手失败，与客户端使用的优选 IP 无关，重点应放在源站证书和配置排查上。

先说结论：优选 IP 只影响你到 Cloudflare 的连接，525 错误发生在 Cloudflare 到你的服务器之间，换 IP 无法解决，需修复源站 SSL 配置。

先确认：Cloudflare 后台 SSL/TLS 加密模式是否设为 Full 或 Full (Strict)。
先处理：检查源服务器 443 端口是否开放及证书是否有效。
再验证：使用 OpenSSL 命令测试源站握手是否成功。
风险提示：切换 Full (Strict) 前务必确保证书由可信 CA 签发，否则会导致网站暂时不可访问。

故障诊断与命令速查

在源服务器上执行以下命令，检测证书状态及端口连通性。若返回证书有效期时间，说明证书基本可读；若连接被拒绝或无输出，检查防火墙或证书路径。

echo | openssl s_client -connect 服务器 IP:443 -servername 你的域名 2>/dev/null | openssl x509 -noout -dates

分步处理方案

第一步：检查 Cloudflare SSL 模式
登录 Cloudflare 后台，进入 SSL/TLS > 概述 (Overview) 页面。确保模式选择"Full"或"Full (Strict)"。如果选的是"Flexible"，Cloudflare 会尝试用 HTTP 连接源站，若源站强制 HTTPS 则可能引发握手问题。

第二步：检查防火墙与安全组
确认源服务器防火墙放行了 443 端口，且未误拦截 Cloudflare 的 IP 段。以下是常见防火墙放行命令：

使用 Cloudflare 优选 IP 后出现 525 SSL 握手失败如何解决

UFW (Ubuntu/Debian):

sudo ufw allow 443/tcp
sudo ufw reload

iptables (CentOS/通用):

iptables -A INPUT -p tcp `--dport` 443 -j ACCEPT
service iptables save

云厂商安全组：需在阿里云、腾讯云等控制台的安全组规则中，手动添加入站规则，协议 TCP，端口 443，授权对象 0.0.0.0/0。

第三步：优化 Web 服务器 SSL 配置
确保源站 Nginx/Apache 配置了安全的加密协议（TLS 1.2+），Cloudflare 默认不再支持过时协议。

Nginx 配置示例 (nginx.conf):

server {
    listen 443 ssl;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    # 其他配置...
}

Apache 配置示例 (httpd.conf 或 ssl.conf):

SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite HIGH:!aNULL:!MD5

修改配置后请重启服务（systemctl restart nginx 或 systemctl restart httpd）。

怎么验证是否生效

修复配置后，清除浏览器缓存，直接访问域名。若页面正常加载且浏览器锁形图标安全，说明握手成功。也可在 Cloudflare 后台查看 SSL/TLS 边缘证书状态是否变为"Active"。再次使用上述 OpenSSL 命令测试，确保证书日期正常且无握手错误。

常见坑与排查

1. 服务器系统时间不准确：导致证书被判定为过期，使用 date 命令检查并同步时间。
2. 证书类型不匹配：开启了 Full (Strict) 模式但源站使用的是自签名证书，需改为 Full 模式或更换可信证书。
3. SNI 配置缺失：若源站托管多个域名，确保 OpenSSL 测试时加上了 -servername 你的域名 参数。

参考来源

Cloudflare Support Center, "Error 525: SSL handshake failed"
Nginx Official Documentation, "Module ngx_http_ssl_module"