报错
| 报错 | 原因 | 处置 |
|---|---|---|
| handshake failure | 协议/套件无交集 | 放开或对齐一端配置 |
| unknown ca / unable to get local issuer | 缺中间证书或自签 | 下发 fullchain / 导入根 |
| certificate expired | 过期 | 续期并部署 |
| hostname mismatch | SAN 不含访问域名 | 换证书或改访问名 |
| self signed certificate | 自签未被信任 | 内网导入根 / 换公共 CA |
定位卡点
定位卡点
openssl s_client -connect bad.example.com:443 -state -servername bad.example.com </dev/null 2>&1 | tail -30
curl -v https://bad.example.com 2>&1 | grep -i -E 'ssl|tls|certificate' | head服务端日志（nginx error.log）会给出更接近原因的一侧描述，两端对照看最快。