nginx证书“失效”实为openssl升级后tls握手兼容性断裂，需聚焦协议协商是否成功及证书是否正确加载发送；用openssl s_client验证连接与证书链，检查签名算法、私钥格式及信任库路径是否适配新版本。
升级 OpenSSL 后 Nginx 证书“失效”，通常不是证书真被废除，而是 TLS 握手环节出现兼容性断裂——比如新 OpenSSL 拒绝旧格式密钥、不支持已弃用的签名算法，或验证逻辑变严格导致链校验失败。排查需聚焦在“协议协商是否成功”和“证书是否被正确加载并发送”两个层面，而非仅看浏览器报错。
确认握手是否真正失败，而非仅浏览器警告
浏览器显示“证书无效”可能源于握手中断（如 ServerHello 后断连），也可能是证书本身未过期但客户端拒绝信任。先绕过浏览器，用底层工具验证：
- 运行
openssl s_client -connect your-domain.com:443 -servername your-domain.com，观察是否输出CONNECTED(00000003)；若卡住或立即退出，说明 TLS 协商根本未完成，问题在协议/密码套件层面 - 加
-verify_return_error参数：如果返回verify error:num=21:unable to verify the first certificate，大概率是证书链不完整或中间 CA 不被新 OpenSSL 默认信任库识别 - 对比升级前后结果：保存旧 OpenSSL 环境下的
s_client输出，重点比对Protocol、Cipher、subject和issuer字段是否一致
检查私钥格式与签名算法兼容性
新版 OpenSSL（尤其是 3.0+）默认禁用弱算法（如 SHA-1 签名、RSA-PKCS#1 v1.5 以外的旧填充），若原证书由老 CA 签发且使用 SHA-1 或密钥长度不足 2048 位，新 OpenSSL 可能直接拒绝加载：
- 查看证书签名算法：
openssl x509 -in fullchain.pem -noout -text | grep "Signature Algorithm"，确认不是 - 检查私钥类型与强度：
openssl rsa -in privkey.pem -check -noout；若提示 <code>RSA key error或key too weak，说明密钥不符合新 OpenSSL 安全策略 - 验证密钥是否为传统 PEM 格式（非引擎或 provider 特有格式）：执行
file privkey.pem，应显示PEM certificate，而非OpenSSL private key或其他特殊标识
验证 Nginx 是否实际加载了新 OpenSSL 运行时
Nginx 编译时绑定 OpenSSL 版本，升级系统 OpenSSL 并不会自动生效——必须重新编译或替换动态链接库：
- 查 Nginx 使用的 OpenSSL 版本：
/usr/sbin/nginx -V 2>&1 | grep -o 'OpenSSL [^ ]*'，输出应与你升级后的版本一致（如 OpenSSL 3.0.13） - 若仍显示旧版本（如 OpenSSL 1.1.1w），说明 Nginx 未重新编译或未更新动态库路径；可临时设置
LD_LIBRARY_PATH测试：LD_LIBRARY_PATH=/usr/local/ssl/lib /usr/sbin/nginx -t - 检查 Nginx 启动时是否报
SSL routines::unsupported protocol类错误，这类日志通常出现在error.log开头几行，表明底层库调用失败
排查证书链与信任库变更影响
OpenSSL 3.x 更换默认信任存储位置（从 /etc/ssl/certs/ 切换到 /etc/pki/tls/certs/ 或通过 provider 加载），可能导致 Nginx 无法解析中间证书：
- 运行
openssl version -d查看 OpenSSL 配置目录，再检查该目录下certs/子目录是否存在必要中间 CA（如 Let's Encrypt R3、ISRG Root X1） - 手动指定信任锚点测试：
openssl s_client -CAfile /etc/ssl/certs/ca-bundle.crt -connect your-domain.com:443，若此时验证通过，说明新 OpenSSL 默认信任库缺失关键 CA - 确保
fullchain.pem中明确包含全部中间证书（不含根证书），且顺序为：域名证书 → 中间证书（R3 → ISRG Root X1），避免依赖系统信任库补全
