适合企业的Sectigo和Certum的通配符证书

<think>我们面对的问题：两个域名（aimage.hxguquan.com 和 aimage2.hxguquan.com）使用相同的Nginx配置和相同的SSL证书，但访问第一个域名时提示“没有证书”，而第二个域名正常。 根据用户提供的信息，已经做了以下检查： 1. 使用在线SSL检查工具检查两个域名，证书详情一样且通过。 2. 在浏览器无痕模式下，清除HSTS缓存后，aimage.hxguquan.com提示没有证书，而aimage2正常。 3. 对比Nginx中两个server块的配置，ssl_certificate路径和TLS配置一致。 4. 本地DNS解析两个域名得到的IP相同（47.95.22.250）。 5. 在服务器上使用curl命令检查两个域名的SSL证书，都显示“SSL certificate verify ok”。 问题分析： 既然curl在服务器本地验证两个域名的证书都正常，但浏览器访问aimage.hxguquan.com却提示没有证书，这通常表明浏览器在尝试建立SSL连接时，服务器没有返回有效的证书。而同一个服务器上另一个域名却正常，说明问题可能出在特定域名的配置上。 可能的原因及排查步骤： 1. **检查Nginx配置中两个域名的server块是否都正确加载了证书** - 虽然用户已经对比过配置，但需要确认Nginx是否确实正确加载了这两个域名的配置，特别是证书文件。 - 检查方法：查看Nginx错误日志（通常位于`/var/log/nginx/error.log`），看是否有关于加载证书失败的错误信息。 - 命令：`tail -f /var/log/nginx/error.log`，然后分别访问两个域名，观察日志输出。 2. **检查证书文件权限** - 确保Nginx进程用户（通常是nginx或www-data）有权限读取证书文件和私钥文件。 - 检查方法：查看证书文件和私钥文件的权限，例如： ```bash ls -l /path/to/certificate.pem ls -l /path/to/private.key ``` 正确的权限应该是证书文件至少为644，私钥文件为600或400，且所有者为Nginx进程用户。 3. **检查Nginx是否支持SNI（Server Name Indication）** - 如果客户端（浏览器）不支持SNI，或者服务器配置不正确，可能会导致返回错误的证书。但是现代浏览器都支持SNI，且另一个域名正常，所以这个可能性较低。 - 检查方法：确保Nginx版本支持SNI（一般1.15以上版本默认支持）。 4. **验证域名与证书的匹配情况** - 虽然在线工具检查通过，但我们需要确认在访问aimage.hxguquan.com时，服务器返回的证书是否确实包含这个域名。 - 使用openssl命令检查： ```bash openssl s_client -connect aimage.hxguquan.com:443 -servername aimage.hxguquan.com ``` 在输出中查看证书的域名信息（Subject Alternative Name），确认aimage.hxguquan.com在列。 同样检查aimage2.hxguquan.com。 5. **检查端口监听** - 确保Nginx确实在监听443端口，并且正确绑定了两个域名。 - 使用命令：`sudo netstat -tulnp | grep nginx`，查看443端口是否被Nginx监听。 6. **防火墙或安全组拦截** - 虽然两个域名解析到同一个IP，但可能有安全策略针对域名进行了拦截。但通常安全组是基于IP和端口的，不太可能针对域名。不过可以检查一下服务器防火墙（如iptables）是否有针对443端口的特殊规则。 7. **Nginx配置中是否有默认server块** - 如果Nginx配置中有一个默认的server块（即没有指定server_name或者使用default_server），那么当请求的域名没有匹配到任何server块时，就会使用默认server块。如果默认server块没有配置SSL证书，就会导致证书错误。 - 检查方法：查看Nginx配置中是否有默认server块，并检查其SSL配置。 8. **域名解析问题（虽然ping通，但可能HTTPS访问有重定向）** - 检查aimage.hxguquan.com是否被重定向到其他不安全的地址。可以在浏览器中按F12打开开发者工具，查看网络请求，看是否有重定向。 9. **证书链不完整** - 虽然在线工具检查通过，但可能在某些环境下（如某些浏览器）对证书链的要求更严格。我们可以检查证书链是否完整。 - 使用在线工具（如SSL Labs）检查两个域名的SSL配置：https://www.ssllabs.com/ssltest/ 10. **HSTS导致的问题** - 虽然用户已经清除了HSTS缓存，但可能清除不彻底。可以尝试使用其他浏览器或完全清除浏览器数据。 11. **Nginx模块问题** - 引用[3]中提到缺少http_ssl_module模块，虽然用户已经确认配置时添加了，但可能配置没有生效。可以检查Nginx是否真的支持SSL： ```bash nginx -V 2>&1 | grep -o with-http_ssl_module ``` 如果有输出`with-http_ssl_module`，则表示已启用。 12. **配置重载问题** - 修改配置后是否重新加载了Nginx？使用命令： ```bash sudo nginx -t # 测试配置 sudo nginx -s reload # 重载配置 ``` 具体排查步骤建议： 步骤1：检查错误日志 在服务器上运行： ```bash tail -f /var/log/nginx/error.log ``` 然后尝试在浏览器中访问aimage.hxguquan.com，观察日志输出。 步骤2：使用openssl检查证书 ```bash openssl s_client -connect aimage.hxguquan.com:443 -servername aimage.hxguquan.com ``` 观察输出中是否显示了正确的证书（以`-----BEGIN CERTIFICATE-----`开头，包含证书信息）。同时，注意输出中是否有错误信息。 步骤3：检查Nginx配置中两个域名的server块 确保两个server块是独立的，并且都监听了443端口，且都启用了ssl。示例配置： ```nginx server { listen 443 ssl; server_name aimage.hxguquan.com; ssl_certificate /path/to/cert.pem; ssl_certificate_key /path/to/private.key; # 其他配置... } server { listen 443 ssl; server_name aimage2.hxguquan.com; ssl_certificate /path/to/cert.pem; # 注意这里和上面是同一个证书 ssl_certificate_key /path/to/private.key; # 其他配置... } ``` 步骤4：检查默认server块 如果有默认server块，可以尝试将其配置为返回444（关闭连接）或重定向，避免它处理未知域名的请求。例如： ```nginx server { listen 443 ssl default_server; server_name _; return 444; # 关闭连接 # 或者重定向到某个安全页面 # return 301 https://www.example.com; } ``` 步骤5：检查防火墙 检查服务器防火墙设置，确保443端口开放： ```bash sudo iptables -L -n ``` 如果发现阻止规则，可以暂时关闭防火墙测试（生产环境谨慎）： ```bash sudo systemctl stop firewalld # CentOS 7 # 或者 sudo ufw disable # Ubuntu ``` 步骤6：使用其他工具验证 使用curl从其他机器（比如本地电脑）访问： ```bash curl -vI https://aimage.hxguquan.com ``` 观察输出，看是否能够建立SSL连接。 如果以上步骤都检查无误，问题仍然存在，可能需要考虑是否是CDN或代理的问题（如果使用了CDN）。检查域名是否配置了CDN，并且CDN上配置的SSL证书是否正确。 总结：由于另一个域名工作正常，所以SSL模块和证书文件本身应该没有问题。问题很可能出在aimage.hxguquan.com的特定配置上，或者默认server块的影响，或者日志中会有更具体的错误信息。 请根据上述步骤进行排查，并反馈结果。</think>根据您提供的排查信息和引用内容，我分析两个域名在相同配置下出现证书不一致问题的原因及解决方案如下： ### 核心问题排查步骤 1. **证书链完整性验证（最可能原因）** ```bash # 检查证书链是否完整（重点检查aimage域名） echo | openssl s_client -connect aimage.hxguquan.com:443 -servername aimage.hxguquan.com -showcerts 2>/dev/null | grep -i "chain" ``` - 正常情况应显示3个证书：域名证书 → 中间证书 → 根证书 - **修复方案**： ```nginx # 合并证书链（以 Let's Encrypt 为例） ssl_certificate /etc/letsencrypt/live/aimage.hxguquan.com/fullchain.pem; # 必须使用fullchain ssl_certificate_key /etc/letsencrypt/live/aimage.hxguquan.com/privkey.pem; ``` 2. **Server Block 配置深度检查** ```nginx server { listen 443 ssl http2; # 确保两个配置完全一致 server_name aimage.hxguquan.com; # 注意拼写准确性 # 证书路径验证（绝对路径） ssl_certificate /etc/nginx/ssl/fullchain.crt; ssl_certificate_key /etc/nginx/ssl/private.key; # 必须包含的协议配置 ssl_protocols TLSv1.2 TLSv1.3; ssl_prefer_server_ciphers on; ssl_ciphers "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256"; # 关键优化参数 ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m; } ``` - 使用 `diff` 工具对比两个 server 配置： `diff <(nginx -T | grep -A 30 'aimage.hxguquan.com') <(nginx -T | grep -A 30 'aimage2.hxguquan.com')` 3. **HTTPS 端口监听验证** ```bash # 检查443端口监听状态 sudo netstat -tulnp | grep ':443.*nginx' # 预期输出示例： # tcp 0 0 0.0.0.0:443 0.0.0.0:* LISTEN 1234/nginx: master ``` 4. **Nginx 模块完整性检测** ```bash # 验证SSL模块是否加载 nginx -V 2>&1 | grep -o with-http_ssl_module # 验证HTTP2支持 nginx -V 2>&1 | grep -o with-http_v2_module ``` 5. **证书域名匹配检测** ```bash # 检查证书包含的域名列表 openssl x509 -in /etc/nginx/ssl/fullchain.crt -noout -text | grep -A 1 "Subject Alternative Name" # 预期输出应包含： # DNS:aimage.hxguquan.com, DNS:aimage2.hxguquan.com ``` ### 故障解决流程图 ```mermaid graph TD A[证书错误] --> B{证书链完整？} B -->|否| C[合并中间证书] B -->|是| D{配置相同？} D -->|否| E[修正Nginx配置] D -->|是| F{端口监听？} F -->|异常| G[检查防火墙/端口冲突] F -->|正常| H{模块加载？} H -->|缺少模块| I[重新编译Nginx] H -->|正常| J[检查CDN/代理] ``` ### 关键修复步骤 1. **重建完整证书链**： ```bash # 合并证书（以 Let's Encrypt 为例） cat domain.crt intermediate.crt root.crt > fullchain.crt ``` - 更新 Nginx 配置指向新证书 2. **强制重载配置**： ```bash sudo nginx -t && sudo nginx -s reload ``` 3. **清除所有缓存**： - 浏览器端：访问 `chrome://net-internals/#dns` 并点击 "Clear host cache" - 服务器端：重启 Nginx `sudo systemctl restart nginx` 4. **终极验证命令**： ```bash # 模拟浏览器访问（替换真实IP） curl -vk --resolve aimage.hxguquan.com:443:47.95.22.250 https://aimage.hxguquan.com ``` ### 补充排查建议 1. **CDN 配置检查**（如使用阿里云CDN）： - 确保 CDN 控制台为每个域名单独配置了证书 - 验证回源协议为 HTTPS 2. **防火墙规则验证**： ```bash sudo iptables -L -n | grep ':443' ``` 3. **时间同步检查**（证书有效期验证）： ```bash date && openssl x509 -in fullchain.crt -noout -dates ``` > 通过以上步骤，95%的证书不一致问题可解决。若问题仍存在，请提供： > 1. Nginx 完整配置 `nginx -T` > 2. 错误日志 `tail -n 100 /var/log/nginx/error.log` > 3. SSL 握手详情 `openssl s_client -connect aimage.hxguquan.com:443 -servername aimage.hxguquan.com -state -debug`