SSL 全鏈路排查：證書、中間證書與 SNI
HTTPS 打不開/紅鎖/部分設備報錯的系統排查法：證書鏈四層結構、SNI 工作機制、六類高頻故障（缺中間證書、過期、域名不匹配、協議不匹配等）的定位命令與修復動作。
HTTPS 故障的陰險之處在於症狀與根因的距離：瀏覽器只顯示一個紅鎖，根因可能在證書鏈、SNI、協議版本、時鍾裏的任何一層；更常見的是「我的電腦好的、客戶打不開」——不同設備與系統對鏈缺失的容忍度不同。本篇是域名與 DNS 中心的排查實戰篇：把 SSL 全鏈路拆成可逐層驗證的四段，六類高頻故障各給定位命令與修復動作。
先懂結構：證書鏈與 SNI 是怎麼工作的
- 證書鏈四層：根證書（系統內置信任錨）→ 中間證書（根籤發，可多級）→ 服務器證書（葉子，你的域名）→ 瀏覽器驗證（沿鏈上溯到信任錨）。服務器必須把葉子 + 中間證書一起發（fullchain），只發葉子時，能自動補鏈的桌面瀏覽器「看起來正常」，手機與老系統直接報錯——「部分設備打不開」的第一嫌疑人；
- SNI（Server Name Indication）：TLS 握手第一個包（ClientHello）裏明文攜帶目標域名，讓同一 IP 上的多站點證書各歸各位。極老客戶端不發 SNI → 拿到默認證書 → 域名不匹配報錯；一臺服務器多域名時，SNI 配置錯誤 = 張冠李戴。
逐層驗證命令（從下往上排）
# ① 服務器發了什麼：完整鏈 + 協議 + SNI 行爲
echo | openssl s_client -connect 你的域名:443 -servername 你的域名 2>/dev/null | grep -E "s:|i:|Verify"
# s:=每級證書主體 i:=籤發者；Verify return code: 0 (ok) 才算鏈完整
# ② 不帶 SNI 試一次（模擬老客戶端，多域名服務器必測）
echo | openssl s_client -connect 服務器IP:443 2>/dev/null | grep "s:"
# ③ 證書細節：有效期、域名覆蓋、籤發者
echo | openssl s_client -connect 你的域名:443 -servername 你的域名 2>/dev/null | openssl x509 -noout -dates -subject -ext subjectAltName
# ④ 客戶端視角復現（-v 看握手全過程，--resolve 繞過 DNS 直測服務器）
curl -vI https://你的域名/ --resolve 你的域名:443:服務器IP 2>&1 | grep -E "SSL|subject|issuer|expire|HTTP"
# ⑤ 協議與加密套集體檢（老設備兼容 vs 安全水位的平衡）
openssl s_client -connect 你的域名:443 -tls1_2 </dev/null 2>/dev/null | grep -c "BEGIN CERT" # ≥2 = 鏈完整六類高頻故障速查
| 症狀 | 根因 | 定位 | 修復 |
|---|---|---|---|
| 手機/老系統報錯，桌面正常 | 缺中間證書 | ①的鏈輸出只有一級 | 部署 fullchain.pem（葉子+中間） |
| 紅鎖：證書過期 | 續籤失敗/忘續 | ③的 notAfter 已過 | 換證 + 把到期監控加進撥測（certbot 續籤測試 --dry-run） |
| 域名不匹配 | SAN 沒含訪問域名/www | ③的 subjectAltName 清單 | 重籤時列全所有主機名（含 www 與裸域） |
| 多站點串證書 | SNI 配置錯 | ②不帶 SNI 拿到默認證書 | 核對 vhost/ server 塊的 server_name 與證書對應關系 |
| 老設備握手失敗 | 只開了 TLS1.3 或加密套件過窄 | ⑤分協議試握手 | 開 TLS1.2+1.3 雙協議，套件取主流兼容集 |
| 時好時壞/部分地區報錯 | 負載均衡後端證書不一致或時鍾漂移 | --resolve 逐後端 IP 測 | 全後端統一證書 + NTP 對時 |
修復後的回歸清單
# 每次動證書後跑一遍（5 分鍾）：
echo | openssl s_client -connect 域名:443 -servername 域名 2>/dev/null | grep "Verify return code" # 0 (ok)
curl -sI https://域名/ | head -1 # HTTP/2 或 1.1 200
curl -sI http://域名/ | grep -i location # 80 → 443 跳轉在位
echo | openssl s_client -connect 域名:443 -servername 域名 2>/dev/null | openssl x509 -noout -enddate # 新到期日
# 手機 4G/5G（非 Wi-Fi）實開一次 —— 移動網絡是最容易被忽略的驗證面免費證書與付費證書：怎麼選
Let's Encrypt 系免費 DV 證書與付費證書的差別不在加密強度（算法與密鑰長度同檔），而在四件事：①驗證級別——免費只有 DV（驗證域名控制權）；付費可選 OV（驗證組織）與 EV（擴展驗證），對「證明公司身份」有需求的（金融、政企投標）才用得上；②有效期與自動化——免費證書有效期短（以 CA 當前政策爲準），必須配自動續籤（certbot 類），自動化鏈路本身就是運維資產；付費證書有效期長但換證是手動大動作；③保障與售後——付費證書帶保險賠付與廠商幫助，投標與合規場景常是硬要求；④兼容性長尾——主流免費 CA 的根證書在近十年設備上覆蓋率已經很好，極老設備（XP 時代）場景才需要專門核對根證書清單。口徑：常規站點用免費 DV + 自動續籤 + 到期監控，身份展示與合規場景上 OV/EV——爲「看起來更可信」買 EV 的綠條時代已經過去，瀏覽器早已取消 EV 視覺標識。
把證書故障擋在發生前
- 到期監控：撥測清單裏加「證書賰天數 <20 天告警」——外貿站證書過期一天的損失以詢盤計（見場景中心外貿站篇）；
- 續籤演練：certbot renew --dry-run 每月跑一次，續籤鏈路故障在演練裏暴露，不在生產裏暴露；
- HSTS 謹慎開：確認 HTTPS 全鏈路穩定後再開 max-age 較長的 HSTS——開了之後降級回 HTTP 的路就斷了（這是特性不是 bug，但要在你準備好的時候生效）；
- 變更留檔：每次換證記錄「時間/證書指紋/操作人」，串證書類故障回溯時省一半時間。
下一步：把①–⑤命令鏈對你自己的域名跑一遍，六類故障對表自查。DNS 層的上一站（解析配對才輪到證書）→ 同中心解析實操篇；全景 → 域名與 DNS 中心；服務器資源 → 在售配置。