接入高防后遇到HTTPS握手失败，先别急着重启节点或提工单，检查源站证书链是否完整，把站点证书和中间证书拼成fullchain，多数情况下握手失败会直接消失。
为什么证书链不完整会直接拖垮高防上的HTTPS握手
高防节点本质是一个反向代理,客户端先和高防节点握手，高防节点再回源和你的服务器握手，这两段TLS连接里，证书链的验证逻辑完全一样：证书必须能一路追溯到客户端或节点信任的根证书。
证书链不完整,最常见的是只配置了站点证书，漏掉中间证书，站点证书是“员工”，中间证书是“部门主管”，根证书是“集团老板”，高防节点这个“前台”只认识老板，不直接认识员工，如果员工来办事，主管没出面，前台不会放行。
行业共识认为,TLS握手失败中相当一部分来自证书链不完整，而不是高防节点故障，证书链断链后，客户端浏览器通常会提示“证书不受信任”或“无法验证证书的签名”，高防节点回源时也可能直接断开连接，连HTTP状态码都看不到。
高防上HTTPS握手失败原因排查：先确认证书链是不是“断链”
排查高防上HTTPS握手失败,按这个顺序走：
- 源站只上传了域名证书,CA中间证书没有一起配置
- 证书文件顺序写反,中间证书放到了站点证书前面
- 把根证书也拼进fullchain,部分高防节点会直接拒绝
- 高防节点上配置的证书和源站证书不是同一张,或者域名不匹配
- 高防节点回源IP被源站防火墙拦截,证书链检测请求根本到不了源站
- 源站只支持老旧的TLS版本,高防节点协商不到共同加密套件
证书链断链导致的高防上握手失败,最容易被忽略，因为直连源站可能正常，一旦套上高防节点，问题才暴露出来。
高防IP证书链不完整怎么解决：三招把链补齐
修复高防IP证书链不完整,核心动作就是把中间证书补上，下面按源站、高防节点、验证三个层面拆开。
用openssl直接看源站返回的证书链
登录源站服务器,执行：
openssl s_client -connect 源站IP:443 -servername yourdomain.com -showcerts
输出里从 Certificate chain 开始，每个 -----BEGIN CERTIFICATE----- 对应一张证书，第一张是站点证书，后面应该跟着至少一张中间证书。
如果只剩一张证书,说明链不完整，这个检查不需要在高防节点上做，源站本身就能看出来。
如果源站用域名访问不方便,可以先检测高防节点：
openssl s_client -connect 高防IP:443 -servername yourdomain.com -showcerts
先看高防节点返回的链,如果高防节点也只返回一张证书，说明问题同时存在于高防节点配置。
nginx配置高防证书链完整的实操路径
以nginx为例,补齐证书链要这样处理：
- 把站点证书和中间证书按顺序粘贴到同一个文件,一般命名为fullchain.pem
- 顺序要求：站点证书在上，中间证书在下，根证书不要放进去
- 配置nginx：
ssl_certificate /etc/nginx/ssl/fullchain.pem; ssl_certificate_key /etc/nginx/ssl/private.key;
- 检查配置并重载：
nginx -t systemctl reload nginx
- 再次用openssl s_client检测源站，确认输出中至少出现两张证书
如果证书链顺序错了,nginx -t不会报错，但握手时仍会失败，所以必须用openssl看实际返回的链，不能只看配置文件。
高防节点侧的证书链也要同步换
源站修复后,高防控制台上传的证书也要同步更新，很多高防产品在证书管理里提供“证书链文件”或“中间证书”字段，只把站点证书贴进去，高防节点仍然会向客户端返回不完整链。
上传时,把源站使用的fullchain.pem内容原样贴到高防节点的证书内容里，不要只贴站点证书，配置完成后，用公网环境再跑一次openssl检测高防IP，确认返回证书数量不再是单张。
nginx配置高防证书链完整后，怎么验证真的修好了
本地验证证书链顺序
在服务器上执行：
openssl crt2pkcs7 -nocrl -certfile /etc/nginx/ssl/fullchain.pem | openssl pkcs7 -print_certs -noout
观察每一张证书的subject和issuer,站点证书的issuer应该等于中间证书的subject，中间证书的issuer应该指向根证书的subject，只要有一环对不上，就是顺序或内容出错。
用curl模拟高防节点回源握手
高防节点回源前,可以先在服务器本机模拟：
curl -Iv https://源站IP/ --resolve yourdomain.com:443:源站IP
返回 SSL certificate problem: unable to get local issuer certificate，说明链仍然不完整，返回正常HTTP状态码，说明源站证书链已经通过。
从公网检测高防节点
在本地电脑执行：
echo | openssl s_client -connect 高防IP:443 -servername yourdomain.com -showcerts | grep "Verify return code"
返回值为0,表示证书链验证通过，非0值则需要继续检查高防节点证书配置。
高防CDN和源站证书不一致的对比排查
高防CDN和源站证书不一致,经常会造成访问路径不同、结果不同的现象，下面用表格对比几种常见情况：
| 访问路径 | 现象 | 直接原因 |
|---|---|---|
| 客户端直连源站HTTPS | 正常访问 | 源站证书链完整且证书有效 |
| 客户端经高防节点HTTPS | 证书错误或握手失败 | 高防节点证书过期、域名不匹配或链不完整 |
| 高防节点回源TLS握手 | 失败 | 源站证书链不完整 |
| 高防节点回源TLS握手 | 成功但客户端仍然失败 | 高防节点自己的证书配置有问题 |
| 客户端经高防HTTPS | 正常访问 | 两侧证书一致且链完整 |
排查时,先分开检测源站和高防节点，不要混在一起看，否则很难定位到底是哪一段断链。
北京高防服务器证书链检查有什么不同吗
北京高防服务器、上海高防机房、深圳BGP高防，证书链检查逻辑完全一致，证书验证不因机房地域改变，地域差异主要影响回源链路延迟和网络路径，不影响证书链本身。
在控制台上传证书时,北京高防服务器和其他地域的高防产品操作入口通常一致：进入证书管理，上传证书链文件，绑定到对应域名，如果北京机房有本地网络策略，可能需要确认回源443端口是否对高防回源IP段开放，但这与证书链完整性是两个问题。
高防证书链修复多少钱？多数情况不用花钱
高防证书链修复的费用,取决于谁来修。
自己按openssl命令检查并补齐中间证书,费用为零，中间证书去CA官网下载也不收费，免费证书如Let’s Encrypt，在高防节点上的验证逻辑与付费证书没有差别，只要链完整就能通过。
如果让外包运维处理,按次计费通常在几百元以内，具体看服务商和紧急程度，部分高防服务商的人工证书排查可能收取增值服务费，但多数基础排查工单不收费。
证书链修复不是购买新证书,多数情况下，证书本身没有过期，只是链没拼完整，直接补链比重新买证书划算得多。
接入后检查清单：让高防HTTPS握手一次通过
接入高防后,把下面几项跑一遍：
- 源站openssl s_client返回至少两张证书
- fullchain.pem顺序为站点证书在前，中间证书在后
- 不把根证书拼进fullchain
- 高防控制台证书内容与源站fullchain一致
- 高防节点openssl检测返回Verify return code为0
- 源站防火墙已放行高防回源IP的443端口
这些检查都不需要登录高防节点的底层系统,只要会用openssl和查看控制台，就能在几分钟内完成。
接入高防后，证书链不完整是一个隐蔽但高发的握手失败原因，把检查命令跑一遍，补上中间证书，比反复重启节点和提交工单更直接。
高防证书链不完整常见问题解答
高防上握手失败一定是证书链不完整吗
不一定,TLS版本不匹配、加密套件被高防节点禁用、SNI未开启、回源端口没放行，都会引起握手失败，先看错误码，如果客户端报“unable to get local issuer certificate”或浏览器提示证书不受信任，再重点检查证书链。
高防IP证书链不完整怎么用openssl快速验证
执行 openssl s_client -connect 高防IP:443 -servername 你的域名 -showcerts，数一下输出的证书数量，只有一张证书，链不完整，有两张以上且最后的issuer指向公共根CA，基本完整，再用 | grep "Verify return code" 看是否为0。
高防节点证书链和源站不一致会有什么后果
客户端可能收到中间证书缺失的告警,或者浏览器报“证书无效”，部分App会直接拒绝连接，因为移动端对证书链的校验比PC浏览器更严格，多数情况下，iOS和Android端在证书链不完整时会直接断开，不会提供“继续访问”选项。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/651763.html
