运维怎样排查SSL故障

运维排查 SSL/TLS 故障，通常遵循**“从证书本身 → 到握手过程 → 再到网络和系统配置”**的逐层排查思路。下面给你一套比较实用、可落地的排查方法。

一、先确认故障现象

先问清楚：

• 是浏览器访问报错还是程序/接口调用失败？
• 报错关键词是什么？
  • NET::ERR_CERT_...
  • certificate has expired
  • SSL handshake failed
  • unknown ca
  • self signed certificate

不同现象，方向完全不同。

二、检查证书本身（最常见问题）

1. 证书是否过期

openssl x509 -in cert.pem -noout -dates

2. 域名是否匹配

openssl x509 -in cert.pem -noout -subject -ext subjectAltName

确认：

• 域名在 CN 或 SAN 中
• 是否漏了 www

3. 证书链是否完整

常见问题：只配置了服务器证书，没配中间证书

验证：

openssl s_client -connect domain.com:443

看返回里是否有：

• Verify return code: 0 (ok)
• 中间证书是否缺失

三、用 openssl 模拟握手（核心手段）

1. 基本握手测试

openssl s_client -connect example.com:443 -servername example.com

重点关注：

• Verify return code
• subject / issuer
• SSL-Session 中的协议和 cipher

2. 指定协议测试

openssl s_client -connect example.com:443 -tls1_2
openssl s_client -connect example.com:443 -tls1_3

用于判断：

• 是否禁用了某版本导致老客户端连不上

四、检查服务端配置

Nginx 示例

ssl_certificate     /path/fullchain.pem;
ssl_certificate_key /path/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;

常见坑：

• 证书路径错
• 私钥和证书不匹配
• 忘记 reload nginx

验证匹配：

openssl x509 -noout -modulus -in cert.pem | md5sum
openssl rsa -noout -modulus -in key.pem | md5sum

两个 md5 必须一致。

五、网络与中间设备

1. 端口是否通

telnet example.com 443
# 或
nc -vz example.com 443

2. 是否有防火墙 / WAF / 负载均衡

常见问题：

• SLB 终止 SSL，后端未启用 HTTPS
• WAF 使用了自签证书
• 端口转发错误

六、客户端侧问题

1. 系统时间错误

证书校验依赖时间：

date

2. 客户端信任库问题

• Java：检查 cacerts
• 容器：基础镜像可能缺 CA
• 内网自签：需手动导入 CA

七、常见 SSL 故障速查表

八、实用排查顺序（推荐）

1. openssl s_client 看返回码
2. 查证书有效期 & 域名
3. 查证书链完整性
4. 查服务端配置 & reload
5. 查网络 / 代理 / SLB
6. 查客户端环境

如果你愿意，可以把：

• 具体报错信息
• 使用的组件（Nginx / Tomcat / K8s / SLB）
• 是自建还是云厂商证书

发给我，我可以帮你按实际环境一步步定位。