虚拟机出现证书错误，大多是虚拟机系统时间与真实时间不同步或根证书缺失，先校准时间，再按需导入证书即可。 很多朋友在虚拟机里打开企业邮箱、网银或内部系统时，浏览器会直接拦截，提示“证书无效”“证书过期”或“无法建立安全连接”，先别急着怪网络,绝大多数问题出在虚拟机自身环境上。
为什么虚拟机总是报证书错误
虚拟机里的证书错误，比物理机更常见，因为虚拟环境多了一层“快照”和“暂停恢复”机制,原因集中在下面几类：
- 系统时间漂移：虚拟机暂停后恢复，或长时间不关机，系统时间会逐渐偏离真实时间，证书校验时，系统会对比当前时间和证书有效期，一旦时间不在有效期内,立刻报错。
- 根证书库不完整：部分精简版系统镜像为了瘦身，把根证书裁掉了,导致系统无法验证服务器证书的真实身份。
- 没有安装VMware Tools或VirtualBox增强功能：这些工具自带时间同步驱动,缺失后虚拟机时间更容易失准。
- 企业内网自建证书不受信任：公司内部系统常用自签证书或私有CA签发的证书，虚拟机默认不信任,自然报证书错误。
虚拟机证书错误怎么解决：先校准时间
解决证书错误，第一步永远是看时间，操作不复杂,但很多人会忽略。
Windows虚拟机校准时间
先在任务栏右下角点击时间，选择“日期和时间设置”，确保“自动设置时间”和“自动设置时区”都打开，如果开了还是不对，就手动点击“立即同步”，这里有一个细节：Windows时间服务的默认间隔是一周，如果虚拟机频繁挂起，一周一次的同步明显不够用。
想手动强制同步，可以打开管理员命令行,输入：
w32tm /resync（强制立即同步）net stop w32time && net start w32time（重启时间服务）
注意：如果虚拟机所在主机本身时间不对，同步也会失败，先把宿主机的系统时间校准,再进虚拟机操作。
Linux虚拟机校准时间
先检查系统时间：
date查看当前时间timedatectl查看时间同步状态
如果时间偏差大,使用以下命令：
sudo timedatectl set-ntp true（开启自动时间同步）sudo ntpdate -s time.windows.com（手动同步）
虚拟机时间不对导致证书错误的根因：没装增强工具
这里单独拎出来说，是因为不管Windows还是Linux，只要装了VMware Tools或VirtualBox Guest Additions，时间同步就有了保障,以VMware为例：
- 打开虚拟机菜单栏的“虚拟机”选项，点击“安装VMware Tools”。
- 进入虚拟机内，运行安装程序,完成后重启系统。
- 确认VMware Tools服务里“时间同步”功能已开启（默认开启）。
行业共识认为，相当一部分虚拟机时间漂移问题，都是因为没装或没更新虚拟化增强工具，这一点在Windows Server和Linux服务器虚拟机里尤其明显。
导入证书，解决“不受信任”的证书错误
校准时间后，如果浏览器依然提示“不受信任”或“证书链不完整”,那就是虚拟机缺少对应的根证书。
从浏览器导出证书再导入虚拟机
如果你手头有一台访问正常的物理机，可以直接从物理机浏览器导出证书,再导入虚拟机：
- 在物理机浏览器地址栏点击小锁图标，点击“连接是安全的”，再点“证书有效”。
- 在证书弹窗中切换到“证书路径”或“详细信息”标签,选择最上层的根证书。
- 点击“查看证书”，在详细信息里点击“复制到文件”，选择“Base-64编码X.509”格式导出。
- 将证书文件传到虚拟机，双击打开，选择“安装证书”。
- 存储位置选择“本地计算机”，下一步中选择“将所有证书都放入下列存储”，点击“浏览”选中“受信任的根证书颁发机构”,完成导入。
虚拟机导入证书报错的三种常见情况
很多人在导入证书时又遇到新问题,这里直接列出典型报错和对策：
- 提示“无法导入私钥”：说明你导出的是带私钥的证书，导入时需要用密码或进“个人”存储区，通常情况下,公共根证书根本不需要私钥。
- 提示“证书链无效”：只导入了服务器证书，没有导入中间证书，解决办法是按照证书路径,把中间CA和根CA一并导出。
- 提示“证书存储格式不正确”：可能选错了编码格式，优先使用Base-64或DER格式，不要用PKCS#12（.pfx）导入根证书。
用mmc管理证书更省事
如果你需要批量导入多个证书，可以打开运行框输入mmc,然后按以下步骤操作：
- 点击“文件”->“添加/删除管理单元”，选择“证书”，点击“添加”。
- 弹出窗口选择“计算机账户”，一直点下一步,回到控制台。
- 展开“证书（本地计算机）”，右键“受信任的根证书颁发机构”->“所有任务”->“导入”,按向导导入证书文件。
这样管理证书，比双击证书文件更清晰,也方便查看哪些根证书已经存在。
vmware证书错误无法连接怎么办
如果你使用的是VMware vSphere或Workstation连接宿主服务器时出现证书错误，情况又不一样了，这类错误通常发生在vSphere Client或vCenter登录时。
开发测试环境：临时跳过证书校验
如果你只是连接测试用的ESXi主机，可以临时关闭证书校验，在vSphere Client连接界面，找到“使用IP连接”或“接受此证书”的选项，点击“继续”，但要注意：这只适合临时调试，生产环境不要这么干。
正规做法：下载并信任服务器的CA证书
打开ESXi主机的管理页面（https://你的IP地址），点击页面底部的“下载受信任的根CA证书”，下载后导入虚拟机的“受信任的根证书颁发机构”存储区，之后重新打开vSphere Client,证书会自动通过校验。
vCenter 8.0之后的高版本处理方式
较新版本的vCenter使用“VMware Certificate Authority”签发证书，可以在vCenter管理页面里查看证书吊销列表和过期时间，如果报错提示证书过期,最简单的处理是更新vCenter的证书：
- 登录vCenter的“证书管理”界面。
- 找到目标证书，点击“续期”或“重新生成”。
- 等待证书服务重启,客户端重新连接。
企业场景：虚拟机证书错误影响业务怎么办
如果你管理的是一批虚拟机，而不是单台，证书错误会引发连锁反应，比如域内虚拟机无法访问共享文件、无法同步组策略，甚至导致云桌面登录失败，这种情况下，单台手动操作效率太低,应该用组策略统一处理。
- 在域控服务器上创建“证书服务”策略,把企业根证书通过组策略下发到所有虚拟机。
- 设置“自动注册证书”时，可以勾选“当证书过期时，自动续订新证书”。
- 在虚拟机所在宿主机上开启“时间同步”选项,避免时间漂移成为连环故障的导火索。
据业内专家观察，企业虚拟机环境中的证书错误，相当一部分发生在时间源配置错误或NTP服务不可用的情况下，而不是证书本身失效，所以先把时间源搞定,能少一半麻烦。
关于虚拟机证书错误的常见疑问
虚拟机证书错误会影响宿主机吗
不会，虚拟机的证书存储独立于宿主机，虚拟机里的证书错误只影响虚拟机内部的应用和浏览器，如果宿主机时间被虚拟机拖着变化（少数情况下）,就可能产生影响。
为什么刚装好的虚拟机就报证书错误
这通常有两个原因：一是系统镜像做了时间快照，恢复后时间停留在创建时刻；二是系统精简掉了根证书，建议先安装增强工具，再更新系统补丁，root证书也会随Windows Update一并更新。
证书错误和系统时间有关系吗
有直接关系，https证书都有有效期范围，系统时间小于颁发时间或大于过期时间，都会触发证书错误，把系统时间校准到准确值，多数报错会立刻消失，在命令提示符里输入date即可快速查看当前系统时间。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/613049.html
