Linux Nginx 怎么验证 SSL 证书链的完整性和匹配度-Nginx-PHP中文网

验证nginx ssl证书链完整性与密钥匹配度需三步：一查openssl s_client输出中begin certificate出现次数及顺序，确保域名证后紧接中间证；二比对证书与私钥modulus的md5值是否完全一致；三核验fullchain.pem内容合规，禁含根证、空行或私钥。

linux nginx 怎么验证 ssl 证书链的完整性和匹配度

验证 Linux 下 Nginx 的 SSL 证书链完整性与密钥匹配度，不能只看配置是否加载成功——Nginx 启动时既不检查证书过期、也不校验链是否发全，更不会比对私钥和证书是否属于同一密钥对。必须通过命令行在服务端本地实操，三步缺一不可。

Nginx 只原样发送 ssl_certificate 指向的 PEM 文件内容，不会自动补中间证书。链不全会导致严格客户端直接断连。

在 Nginx 服务器上执行：
openssl s_client -connect your-domain.com:443 -servername your-domain.com -showcerts 2>/dev/null
观察输出中 -----BEGIN CERTIFICATE----- 出现次数：
• 只有 1 次 → 仅发了域名证书，链缺失
• 出现 2 次或以上 → 第一段是你的证书（subject=CN=your-domain.com），第二段起应为中间证书（如 CN=Let's Encrypt R3）
快速确认顺序是否正确：
openssl s_client -connect your-domain.com:443 -showcerts 2>/dev/null | grep "subject\|issuer"
第一段 subject 应含你的域名；第二段 issuer 应与第一段 subject 完全一致（即中间证书签发了你）

即使证书链完整，若私钥和证书不是一对，TLS 握手会失败。浏览器报错可能模糊，但 openssl 能精准定位。

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

提取证书公钥模数 MD5：
openssl x509 -noout -modulus -in /etc/nginx/ssl/server.crt | md5sum
提取私钥模数 MD5：
openssl rsa -noout -modulus -in /etc/nginx/ssl/server.key | md5sum
（若私钥加密，先加 -passin pass:your-password）
两行输出必须逐字完全相同——否则密钥对不匹配，需重新生成或检查导出过程

这是最容易出错的一环：文件内容决定 Nginx 实际发送什么。

打开 ssl_certificate 指向的文件（通常是 fullchain.pem），确认：
• 第一块以 -----BEGIN CERTIFICATE----- 开头，subject 含你的域名
• 紧接着是中间证书（如 CN=R3），不能是根证书（如 CN=ISRG Root X1）
• 两块之间无空行，不含私钥、注释、Windows 换行符或乱码
快速统计证书块数量：
grep -c "BEGIN CERTIFICATE" /etc/nginx/ssl/fullchain.pem
结果应为 2（单级中间）或 3（双级中间），绝不能是 1（缺中间）或 ≥4（混入根证或多余证书）

即使 Nginx 发出了两段证书，如果中间 CA 不被系统信任，仍会验证失败（尤其在旧系统或容器环境）。

运行：
openssl verify -CAfile /etc/ssl/certs/ca-certificates.crt /etc/nginx/ssl/fullchain.pem
返回 OK 表示整条链能锚定到系统可信根
若报 unable to get issuer certificate，说明中间证书缺失、顺序颠倒，或系统 CA 包未更新（可运行 update-ca-certificates 更新）