一、证书验证类错误

1.1 证书过期或未生效

当浏览器提示”NET::ERR_CERT_DATE_INVALID”时，通常是由于证书有效期问题导致。证书颁发机构（CA）签发的证书具有明确的有效期范围，若服务器时间与证书有效期不匹配，将触发此类错误。

典型场景：

服务器系统时间设置错误（如时区配置偏差）
证书已过期未及时续期
证书生效日期尚未到来（常见于新签发证书）

解决方案：

# 检查服务器时间与时区
date -R
timedatectl status
# 同步网络时间（需安装ntp服务）
ntpdate pool.ntp.org

建议配置自动化监控，通过日志服务实时检测证书有效期。当剩余有效期低于30天时，触发告警机制通知运维人员更新证书。

1.2 证书链不完整

浏览器显示”ERR_SSL_VERSION_OR_CIPHER_MISMATCH”时，往往与证书链配置有关。现代浏览器要求服务器提供完整的证书链，包括终端实体证书、中间CA证书直至根证书。

验证方法：

# 使用OpenSSL验证证书链
openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null | openssl x509 -noout -text
# 检查证书链深度
openssl s_client -connect example.com:443 -servername example.com | grep "Verify return code"

配置示例：

ssl_certificate     /path/to/fullchain.pem;  # 包含终端证书+中间证书
ssl_certificate_key /path/to/privkey.pem;

建议从CA机构下载包含完整证书链的.pem文件，避免手动拼接证书导致的顺序错误。主流云服务商提供的SSL证书服务通常会自动生成正确格式的证书链文件。

二、协议与加密套件问题

2.1 协议版本不兼容

当出现”ERR_SSL_PROTOCOL_ERROR”时，表明客户端与服务器支持的SSL/TLS协议版本不匹配。现代浏览器已逐步淘汰不安全的旧版本协议，如SSLv3、TLS 1.0和TLS 1.1。

安全配置建议：

ssl_protocols TLSv1.2 TLSv1.3;  # 禁用不安全协议
ssl_prefer_server_ciphers on;    # 优先使用服务器配置的加密套件

加密套件优化：

ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256...';

建议参考Mozilla的SSL配置生成器（https://ssl-config.mozilla.org/）获取针对不同安全等级的推荐配置。对于高安全要求场景，应启用TLS 1.3并禁用所有CBC模式加密套件。

2.2 SNI配置问题

当单个IP地址需要托管多个HTTPS站点时，必须正确配置Server Name Indication（SNI）。若未配置SNI或配置错误，将导致浏览器显示”SSL_ERROR_BAD_CERT_DOMAIN”错误。

多域名配置示例：

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate /path/to/example.com.pem;
    ...
}
server {
    listen 443 ssl;
    server_name demo.com;
    ssl_certificate /path/to/demo.com.pem;
    ...
}

建议使用通配符证书或SAN证书简化多域名管理，同时确保Nginx版本支持SNI功能（1.3.x及以上版本默认支持）。

三、混合内容警告

3.1 资源加载不安全

当HTTPS页面中引用HTTP资源时，浏览器将显示”混合内容”警告。这种不安全的资源加载方式会降低页面安全性，甚至导致某些功能失效。

检测方法：

浏览器开发者工具（Console面板）查看警告信息
使用在线工具如SSL Labs的SSL Test（https://www.ssllabs.com/ssltest/）进行全面检测

解决方案：

绝对路径替换：将资源URL中的http://改为https://

协议相对URL：使用//前缀自动匹配当前页面协议

<!-- 修改前 -->
<script src="http://cdn.example.com/lib.js"></script>
<!-- 修改后 -->
<script src="//cdn.example.com/lib.js"></script>

重定向规则：在Nginx配置中添加HTTP到HTTPS的重定向

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

3.2 WebSocket安全连接

对于WebSocket连接，同样需要确保使用wss://协议。若WebSocket服务器配置为ws://，将触发混合内容警告。

安全配置示例：

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}
server {
    listen 443 ssl;
    ...
    location /ws {
        proxy_pass http://backend;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
    }
}

四、高级故障排查

4.1 调试模式配置

启用Nginx的SSL调试日志可获取更详细的错误信息：

error_log /var/log/nginx/ssl_error.log debug;

关键日志字段解析：

SSL_do_handshake()失败：通常与证书验证或协议不匹配有关
no shared cipher：客户端与服务器没有共同的加密套件
SSL_accept() failed：SSL握手过程失败

4.2 证书透明度日志

现代CA机构需将签发的证书记录到证书透明度日志中。可通过以下工具验证证书是否已正确记录：

# 使用crt.sh工具查询
https://crt.sh/?q=example.com
# 使用Google的证书透明度工具
https://transparencyreport.google.com/https/certificates

4.3 OCSP Stapling配置

启用OCSP Stapling可提升TLS握手效率，减少连接建立时间：

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;