Zabbix报TLS握手失败无法获取Agent数据该如何分析修复？

根因定位流程 #

• PSK文件权限与内容校验：首先排查客户端/etc/zabbix/key.psk的权限，必须保证zabbix用户可读，权限建议配置为600，属主属组为zabbix。同时确认Zabbix服务端Web页面对该主机配置的PSK值、PSK Identity与客户端配置的TLSPSKIdentity、key.psk文件内的密钥完全一致，多余的空格、换行符、大小写差异都会导致握手失败。
• 版本兼容性校验：确认故障客户端的Zabbix Agent版本与其他正常运行的客户端版本一致，若客户端版本远低于服务端版本，会存在TLS协议版本协商不兼容的问题，触发握手失败报错。
• 流量拦截排查：TCP端口连通不代表TLS握手包正常传输，部分主机防火墙、WAF、安全组策略会拦截PSK加密的TLS流量，可通过tcpdump抓10050端口的报文确认握手包是否被篡改或丢弃。
• 客户端日志排查：查看客户端zabbix_agentd日志（默认路径/var/log/zabbix/zabbix_agentd.log），可获取更精准的报错信息，比如PSK文件读取失败、身份标识不匹配等问题，能直接定位根因。

修复操作步骤 #

• 修正PSK文件权限，执行命令：
  chown zabbix:zabbix /etc/zabbix/key.psk && chmod 600 /etc/zabbix/key.psk
• 对齐密钥配置：核对客户端key.psk文件内容、TLSPSKIdentity值与Zabbix服务端主机加密配置的参数完全一致，确认后重启客户端agent服务：
  systemctl restart zabbix-agent
• 版本对齐：若客户端版本过低，升级到与正常客户端相同的Zabbix Agent版本后重启服务。
• 排除流量拦截：临时关闭客户端本地防火墙验证，若恢复正常则添加Zabbix相关流量放行规则，同步确认上层安全设备没有拦截Zabbix TLS加密流量。

内容的提问来源于stack exchange，提问作者Steffen S