SSL证书链运维怎配置

下面从概念 → 常见场景 → 配置示例 → 运维注意点给你一套可落地的 SSL 证书链运维配置指南。

一、先搞清楚：什么是“证书链”

一个完整的 SSL/TLS 证书通常包含：

服务器证书（Leaf / End-Entity）
   ↓ 由
中间证书（Intermediate CA）
   ↓ 由
根证书（Root CA）

✅ 客户端只信任 Root
✅ 服务器必须发送：服务器证书 + 中间证书
❌ 不发送中间证书 = 证书链不完整 = 部分客户端报错

二、证书链运维的核心原则

✅ 1. 服务器必须配置“完整证书链”

• Nginx / Apache / 网关都要包含：
  • 服务器证书
  • 中间证书（按顺序）

✅ 2. 根证书不要放在服务器上

• 根证书由客户端系统/浏览器内置
• 服务器放根证书反而无意义

✅ 3. 中间证书顺序不能错

正确顺序（从服务器证书开始）：

-----BEGIN CERTIFICATE-----
服务器证书
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
中间证书1
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
中间证书2（如有）
-----END CERTIFICATE-----

三、常见服务器配置示例

1️⃣ Nginx 配置（最常用）

合并证书链

cat domain.crt intermediate.crt > fullchain.crt

nginx.conf

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate     /etc/nginx/ssl/fullchain.crt;
    ssl_certificate_key /etc/nginx/ssl/domain.key;

    ssl_protocols TLSv1.2 TLSv1.3;
}

✅ 推荐用：

• fullchain.pem（证书 + 中间）
• privkey.pem

2️⃣ Apache 配置

<VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLCertificateFile      /path/domain.crt
    SSLCertificateKeyFile   /path/domain.key
    SSLCertificateChainFile /path/intermediate.crt
</VirtualHost>

⚠️ 新版本 Apache 推荐：

SSLCertificateFile /path/fullchain.crt

3️⃣ Java / Spring Boot

server:
  ssl:
    key-store: classpath:keystore.p12
    key-store-password: xxx
    key-store-type: PKCS12

✅ keystore 中必须包含：

• 私钥
• 服务器证书
• 中间证书

4️⃣ Kubernetes（Ingress）

tls:
  - hosts:
      - example.com
    secretName: tls-secret

kubectl create secret tls tls-secret \
  --cert=fullchain.crt \
  --key=domain.key

四、证书链验证（运维必做）

✅ 本地验证

openssl verify -CAfile root.crt fullchain.crt

✅ 线上验证

openssl s_client -connect example.com:443 -servername example.com

重点看：

• Verify return code: 0 (ok)
• 证书链是否完整

五、证书链运维常见坑

六、自动化运维建议

• ✅ 用 ACME（certbot / acme.sh） 自动续签
• ✅ 续签后自动 reload 服务
• ✅ 监控证书到期（Prometheus / 脚本）
• ✅ 多节点统一证书分发

如果你能告诉我：

• 用的什么服务器（Nginx / K8s / CDN / 云厂商）
• 证书来源（Let’s Encrypt / 商业 CA）
• 是否多域名 / 通配符

我可以直接帮你写对应环境的完整配置模板。