Nginx配置仅启用TLSv1.3后TLS记录层版本异常及判定规则咨询

问题1：已在Nginx配置中指定仅使用TLSv1.3协议，为何第一次请求的TLS记录层（Record Layer）版本为TLS 1.0？ #

这是TLS协议的标准兼容设计，和Nginx配置无关。根据RFC 8446（TLS1.3官方规范）要求，所有高于TLS1.0版本的Client Hello握手报文，记录层的版本字段都统一填写0x0301（即TLS1.0），目的是避免不支持高版本TLS的中间拦截设备直接丢弃报文。
你两次抓包的Client Hello记录层实际版本都是TLS1.0，Wireshark显示的外层标签差异是它基于后续握手协商结果回溯标记的，不是记录层本身的版本不同。Client Hello内部的supported_versions扩展字段才是真正用来协商TLS版本的依据，你配置仅支持TLSv1.3后，该扩展内只会携带TLS1.3的版本标识。

问题2：两次测试请求仅目标IP不同，为何第一次请求使用TLSv1，第二次请求使用TLSv1.3？ #

这个差异来自两个目标服务的TLS支持能力不同，本质是Wireshark的标记规则导致的表象差异：

• 第一次请求的目标企业服务不支持TLS1.3，无法识别Client Hello里的TLS1.3协商标识，会返回低版本TLS的响应，Wireshark识别到最终握手协商的版本为低版本TLS，就会将整个握手的记录层回溯标记为TLSv1
• 第二次请求的目标企业服务支持TLS1.3，和Nginx成功协商使用TLS1.3加密，Wireshark就会将对应握手记录标记为TLSv1.3
  注意你配置了proxy_ssl_protocols TLSv1.3的前提下，Nginx不会主动降级到低版本TLS，如果目标不支持TLS1.3，最终握手会直接失败，不会建立有效连接。

问题3：Nginx中TLS记录层版本的具体判定规则是什么？ #

Nginx作为上游服务的TLS客户端时，记录层版本完全遵循TLS RFC规范，判定逻辑如下：

• 发起Client Hello握手报文时，不管配置的proxy_ssl_protocols是什么，记录层版本固定为TLS1.0（0x0301），用于兼容旧的中间转发设备
• 握手完成后，后续所有应用数据的记录层版本，使用双方协商得到的最终TLS版本对应的版本号：TLS1.2为0x0303，TLS1.3为0x0304
• 协商的最终可用TLS版本，取Nginxproxy_ssl_protocols配置的允许版本，和上游服务支持的TLS版本的交集的最高值

内容的提问来源于stack exchange，提问作者JaehoonCha