常见问题排查 (FAQ)

原因分析

浏览器无法验证SSL证书的签发机构（CA）。

解决方案

1. 检查证书链是否完整
   • 确保安装了完整的CA证书链（根证书 + 中间证书）
   • Nginx: 使用 ssl_certificate 指定包含完整链的文件
   • Apache: 确保 SSLCertificateChainFile 已配置
2. 使用在线工具检测
   • 访问 SSL Labs Test
   • 查看"Chain Issues"部分是否有警告
3. 重新下载证书包
   • 从TrustySSL控制台重新下载完整证书包
   • 确保包含所有必需的中间证书

server {
    listen 443 ssl;
    ssl_certificate /path/to/fullchain.pem;  # 包含完整证书链
    ssl_certificate_key /path/to/private.key;
}

原因分析

证书中的域名（CN/SAN）与访问的URL不匹配。

解决方案

1. 确认证书覆盖的域名

   # 查看证书包含的域名
   openssl x509 -in cert.pem -noout -text | grep DNS

2. 检查访问方式
   • 如果证书是 www.example.com，不要用 example.com 访问（反之亦然）
   • 建议同时申请主域名和www子域名的证书
3. 使用通配符或多域名证书
   • 通配符：*.example.com 覆盖所有子域名
   • SAN：一张证书包含多个不同域名

原因分析

证书已过期或尚未生效。

解决方案

1. 检查证书有效期

   openssl x509 -in cert.pem -noout -dates

2. 如已过期，立即续期
   • 登录TrustySSL控制台
   • 选择对应订单进行续费/重新签发
   • 下载新证书并替换服务器上的旧文件
3. 设置到期提醒
   • 建议在到期前30天开始续期流程
   • 启用自动续期服务（如支持）

1. 检查文件路径
   • 确认证书文件路径正确
   • 使用绝对路径而非相对路径
2. 检查文件权限

   # 确保Nginx用户可读取
   chmod 644 /path/to/cert.pem
   chmod 600 /path/to/private.key  # 私钥更严格
   
   # 检查SELinux（如果有）
   ls -Z /path/to/cert.pem

3. 测试配置语法

   nginx -t
   # 或
   /usr/sbin/nginx -t

可能原因及解决：

• 私钥格式不匹配
  • 确保私钥与证书是成对的（同一CSR生成）
  • 使用以下命令验证：

    # 验证私钥和证书是否匹配
    openssl x509 -noout -modulus -in cert.pem | openssl md5
    openssl rsa -noout -modulus -in private.key | openssl md5
    # 两个MD5值应该相同

• 私钥格式问题
  • Apache需要PEM格式私钥
  • 如果是PKCS#8格式，转换命令：

    openssl rsa -in pkcs8.key -out pem.key

1. 检查目录权限

   chmod 755 /var/www/html
   chmod 644 /var/www/html/index.html

2. Nginx配置检查
   • 确保 root 指令指向正确的网站目录
   • 检查 index 指令是否包含默认首页文件
3. 防火墙/SELinux
   • 临时关闭测试：setenforce 0
   • 如果是SELinux问题，执行：

     chcon -R -t httpd_sys_content_t /var/www/html