树莓派部署的Nginx出现SSL握手失败（bad key share）问题的解决方法求助

先帮你梳理几个关键疑点，再给你具体的排查和解决步骤：

1. 先理清访问路径的矛盾点 #

你说在局域网内访问http://192.168.2.10，但日志里的客户端IP都是公网IP（比如51.159.14.99），这说明你的请求并没有直接走局域网，反而被路由到公网后再回来访问树莓派的443端口。大概率是以下两种情况：

• 浏览器自动把HTTP请求跳转到了HTTPS，而你的路由器做了443端口转发，同时局域网内的DNS解析把你的域名（如果有的话）指向了公网IP，导致请求绕了一圈到公网；
• 你可能误输入了域名而非LAN地址，或者本地hosts配置有问题。

快速验证方法：直接在浏览器访问http://192.168.2.10:80（指定80端口），看能不能正常打开页面，同时查看Nginx的access.log，确认客户端IP是不是你的局域网IP（比如192.168.2.x）。

2. 针对ARM架构调整SSL配置 #

树莓派的ARM处理器对某些加密算法/曲线的支持有限，这是导致bad key share错误的常见原因。你可以尝试修改Nginx的SSL配置：

• 打开你的Nginx SSL站点配置文件（通常在/etc/nginx/sites-available/目录下）；
• 替换成ARM兼容的加密套件和ECDH曲线配置：

ssl_ciphers "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384";
ssl_ecdh_curve secp384r1;
ssl_prefer_server_ciphers on;

• 重启Nginx生效：sudo systemctl restart nginx，再测试访问。

3. 检查OpenSSL版本兼容性 #

旧版本的OpenSSL可能不支持TLS 1.3的某些密钥交换算法，而树莓派默认软件源里的OpenSSL版本可能偏旧。先查看当前版本：

openssl version

如果版本低于1.1.1，建议升级OpenSSL和Nginx：

sudo apt update && sudo apt upgrade openssl nginx

4. 优化局域网访问规则 #

如果你确实需要公网访问，要确认路由器的443端口转发规则正确指向树莓派的192.168.2.10:443；但局域网内访问时建议直接走LAN地址，避免绕公网。可以修改本地hosts文件：

• Windows系统：C:\Windows\System32\drivers\etc\hosts
• Linux/macOS系统：/etc/hosts
  添加一行规则：

192.168.2.10 你的域名.com

这样局域网内访问域名时会直接解析到LAN地址，不走公网路由。

按照上面的步骤一步步排查，应该能解决这个bad key share的SSL握手问题。

备注：内容来源于stack exchange，提问作者Manager Rose