浏览器访问源站时，页面可能报“域名不匹配”“证书已过期”或“颁发者不可信”；curl 偶尔成功，重启 Nginx 后甚至短暂恢复。运维常把问题归咎于CDN或防火墙，真正故障却可能在叶证书校验、服务器实际发送的证书链、系统时间或客户端信任库。没有固定复现路径时，盲目换证只会掩盖间歇性问题。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：myhbd（海外服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
证书错误要先分清“客户端不认可哪一段”。第一层是SAN域名匹配：主机名必须出现在证书SAN中，通配符只覆盖一个标签。第二层是中间证书缺失：浏览器拿到叶证书后，要补齐中间证书，才能抵达客户端已有的信任锚路径。第三层查根证书是否在客户端系统信任库，第四层比较证书有效期并核对源站时间偏差，第五层从TLS握手日志确认实际交换内容。
顺序要按依赖关系和修复成本推进：先确认叶证书，再检查完整链；随后验证信任锚、修正时间，最后分析协议协商。不要把“不可信”等同于“过期”，也不要只补根证书。记录SNI、验证结果、链构建结果、握手阶段和时间戳，才能让结论可复现。
在随身服务器上复现时，应指定域名并记录目标IP与端口；不要用IP替代域名，否则会改变SAN匹配条件。
先导出源站实际对外服务的证书，核对指纹、序列号、颁发者、有效期和SAN。访问域名应逐字符匹配；CN写着目标域名并不够，客户端主要看SAN。通配符 *.example.com 不匹配 example.com，也不跨越 a.b.example.com。随后检查 notBefore、notAfter，并比对源站、负载均衡和客户端的UTC时间；偏差会让证书提前失效或延后生效。
可复现的方法是对真实域名执行 openssl s_client -connect example.com:443 -servername example.com -showcerts，读取叶证书的subject、issuer、dates和SAN，并确认链中有叶证书和所需中间证书，保证证书链完整性。域名不匹配时优先重签；中间证书缺失时，先把中间证书并入源站证书文件并重载配置，再评估是否换证；若仅时间偏差，先修复NTP再换证。切勿关闭证书校验，这只会掩盖后续信任故障。
客户端的叶证书校验并不只看服务器证书“未过期”。握手阶段会先检查叶证书的签名、用途、时间与约束，再依据签发关系，把服务器发送的中间证书逐级衔接，直到抵达客户端信任库中的信任锚。任一环节失败都可能被浏览器笼统提示为“证书无效”，根因却并不相同。这里的完整链是指叶证书和所需中间证书，根证书通常留在信任库中，不要求源站发送。
如果源站只发送叶证书，而某台客户端恰好缓存过对应中间证书，访问就可能时好时坏，这正是中间证书缺失最隐蔽的坑。抓包时应确认 Certificate 消息中确实包含完整链，而不是因本机缓存而“看起来正常”。另一条独立校验是名称匹配：现代客户端主要检查SAN域名匹配，CN 已不足以覆盖常规场景；通配符只能匹配一个标签层级，IP 地址则应写入 SAN 的 iPAddress 条目。SNI 只决定服务器选择哪张证书，不代表名称已经通过校验。
TLS握手日志比浏览器的简短报错更能说明失败发生在哪一步。服务端应按协议版本记录协商结果、所发 SNI、证书发送结果，以及 TLS 1.3 中的 CertificateVerify；客户端则记录收到的证书链和最终验证错误，例如 unknown_ca、bad_certificate 或 certificate_unknown。服务端日志若只出现握手中断而没有证书消息，应优先检查证书文件、权限和私钥是否匹配；若客户端报告 unknown_ca，再沿签发关系核对信任锚。
可先执行 openssl s_client -connect www.example.com:443 -servername www.example.com -verify_hostname www.example.com -showcerts -verify_return_error，观察每张证书的 subject、issuer 和验证结果。将首张证书另存为 leaf.pem 后，可用 openssl x509 -in leaf.pem -noout -issuer -subject -dates -ext subjectAltName核对叶证书字段。若需独立验证路径，可准备中间证书与当前系统 CA 包，再执行 openssl verify -CAfile ca-bundle.pem -untrusted intermediate.pem leaf.pem。
最终按清单收口：先标明 TLS 握手究竟终止在 CDN、负载均衡器还是源站；确认源站实际提供完整证书链，中间证书顺序正确且未过期；核对叶证书与私钥配对、SAN 覆盖访问域名；使用客户端真实 CA 库验证信任锚路径；分别在直连源站和经过边缘节点的路径下抓取握手日志，并对比两端呈现的证书。若边缘节点证书正常而源站失败，不要用边缘证书掩盖源站配置问题。所有修复都应在禁用连接复用并新建连接后复测，因为会话复用和证书缓存可能让旧结果继续存在。
