怎样排查运维SSL故障

排查运维中的 SSL/TLS 故障，通常遵循“由外到内、由证书到协议、由客户端到服务端”的思路。下面给你一套实用排查清单，覆盖常见场景。

一、先确认故障现象

先搞清楚是哪一类问题：

• 浏览器报错（NET::ERR_CERT_xxx）
• 客户端调用接口失败（SSL handshake error）
• 服务之间通信异常（curl / 微服务 / 代理）
• 证书过期 / 不受信任 / 域名不匹配
• 握手超时 / 协议不兼容

二、证书本身排查（最常见）

1. 检查证书是否过期

echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | openssl x509 -noout -dates

2. 检查域名是否匹配（SAN / CN）

openssl x509 -in cert.pem -noout -text | grep -A1 "Subject Alternative Name"

3. 检查证书链是否完整

• 缺中间证书是高频问题

openssl s_client -connect example.com:443 -showcerts

重点关注：

• 是否返回 完整链（leaf + intermediate + root）
• 浏览器/客户端是否信任 root CA

三、协议与加密套件排查

1. 查看支持的协议版本

nmap --script ssl-enum-ciphers -p 443 example.com

或

openssl s_client -tls1_2 -connect example.com:443
openssl s_client -tls1_3 -connect example.com:443

常见问题：

• 服务端禁用了 TLS 1.0/1.1，老客户端不支持
• 客户端只支持 TLS 1.2，服务端只开 TLS 1.3

四、握手过程排查（核心）

1. 用 curl 看详细错误

curl -v https://example.com

2. 用 openssl 手动握手

openssl s_client -connect example.com:443 -servername example.com

观察：

• 是否卡在 CONNECTED
• 是否 TLS handshake failure
• 是否证书验证失败

五、服务端配置排查

Nginx 示例

ssl_certificate     fullchain.pem;
ssl_certificate_key privkey.pem;
ssl_protocols       TLSv1.2 TLSv1.3;

常见错误：

• 只配了 cert.pem，没配 chain.pem
• 证书和 key 不匹配

openssl x509 -noout -modulus -in cert.pem | md5sum
openssl rsa -noout -modulus -in key.pem | md5sum

六、中间设备排查

SSL 故障常“不是服务的问题”：

• CDN（证书未同步）
• 负载均衡（SSL offload 配置错误）
• 防火墙 / 代理（拦截 TLS）
• 内网自签 CA 未分发

排查方法：

• 直连后端 IP:Port
• 绕过 CDN / 代理测试

七、客户端排查

• 系统时间错误（证书“未生效”）
• 缺少根证书
• Java：信任库未更新（cacerts）
• 容器：基础镜像太老

八、快速排查流程图（简化版）

能否 TCP 通？
  ↓ 否 → 网络/防火墙
能否 TLS 握手？
  ↓ 否 → 协议/套件/证书
证书是否可信？
  ↓ 否 → CA / 链 / 域名
业务是否异常？
  ↓ 是 → 应用层问题

如果你愿意，可以告诉我：

• 使用的组件（Nginx / LB / K8s / Java / 浏览器）
• 具体报错信息
• 是公网还是内网

我可以给你更针对性的排查步骤。