运维SSL配置错了怎么办

SSL 配置出错在运维中很常见，先别慌，按下面思路逐步排查和处理一般都能解决。

一、先确认“错在哪”

不同错误表现对应不同问题：

1. 浏览器提示“证书不受信任 / 不是可信机构颁发”

   • 证书链不完整
   • 用了自签证书但客户端不信任

2. 提示“证书域名不匹配”

   • 证书 CN / SAN 和实际域名不一致

3. 提示“证书已过期”

   • 证书时间到期

4. 网站无法访问 / 连接重置

   • 监听端口错（如 443 没开）
   • 证书路径写错
   • 私钥和证书不匹配

5. 混合内容警告（http/https 混用）

   • 页面里还有 http 资源

二、快速自查清单

1. 证书和私钥是否匹配

openssl x509 -noout -modulus -in cert.crt | openssl md5
openssl rsa -noout -modulus -in priv.key | openssl md5

两个 md5 必须一致。

2. 证书链是否完整

openssl s_client -connect domain.com:443

看是否有完整 Certificate chain。

3. 域名是否匹配

openssl x509 -in cert.crt -noout -text | grep -A1 "Subject Alternative Name"

4. 配置文件路径是否正确

• Nginx：ssl_certificate / ssl_certificate_key
• Apache：SSLCertificateFile / SSLCertificateKeyFile
• 证书链文件（如 fullchain.pem）是否用对

三、常见修复方式

Nginx 示例（正确姿势）

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate     /path/fullchain.pem;
    ssl_certificate_key /path/privkey.pem;
}

修改后：

nginx -t
systemctl reload nginx

Apache 示例

SSLEngine on
SSLCertificateFile /path/cert.crt
SSLCertificateKeyFile /path/priv.key
SSLCertificateChainFile /path/chain.crt

四、如果配置“彻底错了，网站打不开”

1. 先回滚配置

   cp nginx.conf.bak nginx.conf
   

2. 临时关 SSL，先恢复访问
3. 再慢慢修证书

五、如果是证书本身错了

• 域名错了 → 重新申请（Let’s Encrypt / 厂商）
• 过期了 → 续签
• 自签不被信 → 换可信证书或客户端装根证书

Let’s Encrypt 续签示例：

certbot renew

六、建议你补充的信息（我可以更精准帮你看）

你可以告诉我：

• 用的什么服务（Nginx / Apache / 负载均衡 / K8s）
• 报错截图或文字
• 是自签还是 CA 证书
• 改了什么之后出的问题

我可以直接帮你定位到具体配置行。