先梳理核心排查方向：证书有效性（过期/不匹配/不受信）是最常见的，占故障案例60%以上；其次是配置问题如SNI、协议版本、证书链缺失；然后是客户端缓存或根证书问题。网络中间设备干扰反而比较少见。因此诊断和修复SSL证书导致的加密通信故障需要系统性排查。下面说一下关键步骤和技巧：
一、快速诊断流程（附工具命令）
1. 证书基础检查
过期验证：
bash
openssl x509 -enddate -noout -in server.crt # 检查证书过期时间
echo | openssl s_client -connect example.com:443 2>/dev/null | openssl x509 -noout -dates
域名匹配：
bash
openssl x509 -text -in server.crt | grep "DNS:" # 查看证书包含的域名
2. 证书链完整性
在线检测：
SSL Labs SSL Test 或 SSL Checker
本地验证：
bash
openssl verify -CAfile full_chain.pem server.crt # 验证证书链
3. 服务器配置检测
协议/算法支持：
bash
nmap --script ssl-enum-ciphers -p 443 example.com # 扫描支持的协议和密码套件
SNI配置：
bash
openssl s_client -connect example.com:443 -servername example.com # 测试SNI
4. 客户端问题排查
浏览器控制台：查看 Security 标签页的证书错误详情（如 NET::ERR_CERT_DATE_INVALID）
清除缓存：浏览器SSL状态缓存（Chrome: chrome://net-internals/#hsts）
系统时间：确认客户端设备时间误差在1分钟内
二、高频故障场景及修复方案
场景1：证书过期
现象：浏览器报 ERR_CERT_DATE_INVALID
修复：
紧急续期证书（Let's Encrypt可自动化）
强制刷新：更新后重启服务（sudo systemctl restart nginx）
设置证书过期监控（如Zabbix/Prometheus）
场景2：域名不匹配
现象： ERR_CERT_COMMON_NAME_INVALID
修复：
SAN证书添加所有使用域名（含www和非www）
301重定向统一域名访问入口
场景3：证书链不完整
现象：部分旧设备/Android报错
修复：
nginx
Nginx 配置示例
ssl_certificate /path/fullchain.pem; # 包含服务器证书+中间证书
ssl_certificate_key /path/privkey.pem;
场景4：协议/算法不兼容
现象：旧版浏览器无法连接
修复（Nginx优化配置）：
nginx
ssl_protocols TLSv1.2 TLSv1.3; 禁用SSLv3/TLSv1.0
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
ssl_prefer_server_ciphers on;
场景5：OCSP装订失败
现象：偶发性连接失败
修复：
nginx
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 valid=300s;
三、高级排查工具
OpenSSL ：基础证书/连接测试 openssl s_client -connect host:443
cURL：模拟HTTPS请求，curl -Iv https://example.com
testssl.sh：全面检测SSL/TLS漏洞，/testssl.sh example.com
Wireshark ：抓包分析TLS握手过程，过滤条件：tls.handshake
四、预防措施
自动化续期：使用Certbot（Let's Encrypt）设置自动续期
配置模板化：通过Ansible/Terraform统一部署SSL配置
持续监控：
证书过期监控（如Nagios插件 check_http --ssl --sni -C 30）
SSL证书安全评分监控（SSL Labs API）
HSTS预加载：
nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";
五、特殊场景处理
混合内容问题：页面中HTTP资源触发浏览器警告 → 强制开启CSP
html
<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">
中间人攻击：企业网络拦截HTTPS → 要求用户安装企业根证书
证书透明度(CT)：确保证书提交到CT Log（现代CA自动处理）
关键原则：先诊断后修复，优先使用SSL Labs等工具全面扫描。80%的SSL证书问题源于证书过期、域名不匹配或证书链缺失，快速定位可节省大量时间。生产环境变更前务必在测试环境验证！
