关掉 TLS 1.0/1.1 之后，还有谁连不上

把 ssl_protocols 收窄到 TLSv1.2 TLSv1.3 之后，日志里开始出现 no shared cipher 或 unsupported protocol，来源五花八门。

常见的有：几年前的 Android 内置 WebView、Java 6/7 的默认 SSLContext、一些网络打印机和 IoT 设备的固件、以及部分支付/物流行业的 SDK。

做法不是把旧协议加回来，而是先摸清楚有哪些客户端：

grep -h 'TLSv1\|TLSv1.1' /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head

对确实升级不了的设备，单独开一个只允许旧协议的 server 块，绑到不同域名或端口，把风险圈起来，而不是全站降级。