容器或宿主机时间不准是tls握手失败最隐蔽原因；证书验证依赖系统时钟，utc时间差超1秒即可能触发x509错误或tls超时，超90秒基本必现失败，需校准三处时间并修复同步机制。
直接看时间——容器或宿主机时间不准，是 TLS 握手失败最隐蔽也最常被忽略的原因之一。证书验证严格依赖系统时钟，哪怕偏差几十秒，都可能让 Let’s Encrypt 或自签证书被判定为“未生效”或“已过期”，从而触发 x509: certificate has expired or is not yet valid 或 TLS handshake timeout 等错误。
确认时间是否真的偏移
别猜，先测。重点检查三处时间一致性：
- 宿主机本地时间（
date -u） - Docker 容器内时间（
docker exec -it date -u） - 若用 WSL2，还要单独查 WSL2 发行版时间（
wsl -d Ubuntu-22.04 date -u）
任意两处 UTC 时间差超过 1 秒，就已超出多数 TLS 栈容忍范围；差值超 90 秒，基本必现握手失败。
修复宿主机时间同步
确保宿主机使用可靠的 NTP 服务，并持续校准：
- 运行
ntpq -p查看当前 NTP 同步源是否有效（* 号表示正在使用的源） - 若用 chrony，执行
chronyc tracking检查 Offset 偏移量，理想值应小于 ±50ms - 如发现不同步，可手动强制校准：
sudo chronyc makestep（chrony）或sudo ntpdate -s time.nist.gov（ntp）
同步容器内时间（尤其无 systemd 的轻量镜像）
默认情况下，Docker 容器共享宿主机内核时钟，但部分基础镜像（如 Alpine、scratch）或启用了 --cap-drop=SYS_TIME 的容器，可能无法自动跟随宿主机时间更新。
- 启动容器时加
--volumes-from挂载宿主机/etc/localtime和/etc/timezone（仅限非 scratch 镜像） - 更稳妥的做法：在容器启动命令中注入宿主机当前时间，例如：
docker run -e TZ=Asia/Shanghai -v /etc/localtime:/etc/localtime:ro nginx sh -c "date -s '@$(date +%s)'; exec nginx -g 'daemon off;'" - 对于长期运行的容器，可在其内部部署
ntpd或定期调用date -s（需保留SYS_TIME权限）
特别注意 WSL2 场景
WSL2 是独立轻量虚拟机，其时钟会随 Windows 休眠/唤醒而漂移，且默认不与 Windows 自动同步：
- Windows 端开启“同步时钟”：PowerShell 中运行
wsl --update并确保 WSL2 内核 ≥ 5.15.133 - 在 WSL2 发行版中启用 systemd 后，运行
sudo timedatectl set-ntp true - 或添加开机脚本：
echo 'sudo hwclock -s' | sudo tee -a /etc/wsl.conf（需重启 WSL）
