针对你遇到的SSL客户端证书验证失败问题——错误信息明确显示服务器无法获取客户端返回的证书，且找不到用于验证的CA：

SSL Library Error: error:140890C7:SSL routines:ssl3_get_client_certificate:peer did not return a certificate -- No CAs known to server for verification?

结合你的Apache SSL配置：

SSLCertificateFile /etc/letsencrypt/live/mysite/fullchain.pem
SSLCertificateChainFile same as above
SSLCertificateKeyFile /etc/letsencrypt/live/mysite/privkey.pem
SSLCACertificateFile my own self-signed CA cert file appended to fullchain.pem
SSLVerifyDepth 10

以及你已经完成的排查步骤（确认客户端证书与CA匹配、调整CA文件配置、开启SSL debug日志等），下面分享可以捕获明文SSL交互的工具，还有浏览器开发者常用的调试方法：

一、捕获明文SSL交互的实用工具 #

1. Wireshark #

Wireshark是最常用的网络流量分析工具，不仅能捕获SSL/TLS握手包，还能通过服务器私钥解密流量查看明文：

• 启动Wireshark，选择对应网卡，过滤目标端口（比如port 443）的流量
• 进入设置：Edit > Preferences > Protocols > TLS，在RSA Keys List中添加服务器IP、端口、协议（tcp）和私钥文件路径
• 用过滤条件tls.handshake筛选握手包，就能清晰看到：服务器是否发送了Certificate Request（证书请求）、客户端是否返回了Certificate（客户端证书），这一步能直接定位是服务器没发请求，还是客户端没响应

2. OpenSSL s_client命令行工具 #

这是最直接的模拟客户端连接工具，能输出完整的SSL握手细节：

openssl s_client -connect yourdomain.com:443 -cert /path/to/your-client-cert.pem -key /path/to/your-client-key.pem -CAfile /path/to/your-self-signed-ca.pem -debug

• -debug参数会打印每一步握手的日志，包括服务器发送的可接受CA列表、客户端证书是否被发送等关键信息
• 如果连接失败，会给出比Apache日志更具体的错误提示，比如CA是否被信任、客户端证书是否匹配等

3. tcpdump + OpenSSL离线解密 #

如果需要离线分析流量，可以先用tcpdump捕获，再用OpenSSL解密：

# 捕获443端口流量保存到文件
tcpdump -i any port 443 -w ssl-traffic.pcap
# 使用服务器私钥解密捕获的流量
openssl rsautl -decrypt -inkey /etc/letsencrypt/live/mysite/privkey.pem -in ssl-traffic.pcap -out decrypted-traffic.txt

这种方式适合需要事后分析场景，比如无法实时调试的时候。

二、浏览器开发者工具的调试技巧 #

1. Chrome 调试步骤 #

• 按下F12打开DevTools，切换到Security标签页：
  • 点击View Certificate确认服务器证书链是否完整，CA是否被信任
  • 在Client Authentication区域，能直接看到浏览器是否发送了客户端证书，以及证书的状态（比如是否被服务器接受）
• 切换到Network标签页，选中目标HTTPS请求，查看Request Headers里的相关字段，确认客户端证书是否被携带
• 另外可以打开chrome://settings/certificates，检查客户端证书是否在Your Certificates列表中，且自签名CA在Authorities里被设置为信任

2. Firefox 调试步骤 #

• 按下F12打开DevTools，进入Network标签页，选中请求后查看右侧Security面板：
  • 点击View Certificate查看服务器证书，同时能看到客户端证书的使用状态
• 打开about:preferences#privacy，进入Certificates区域点击View Certificates，确认客户端证书已安装、CA被信任
• 开启详细SSL日志：在about:config中把security.ssl.debug和security.ssl.trace都设为true，然后查看浏览器控制台（Console标签页），能拿到更细粒度的SSL握手日志

额外小提示 #

从你的配置来看，有个关键点可能被忽略：Apache的SSLVerifyClient配置——如果它被设置为none，服务器根本不会请求客户端证书，自然会出现你遇到的错误。建议检查这个配置是否设置为require或optional（根据你的需求）。另外也要确认SSLCACertificateFile的文件路径正确，且服务器进程有读取权限。

内容的提问来源于stack exchange，提问作者flymike