本质是客户端无法验证服务器身份，需分协议排查：SSH因主机密钥变更触发警告，RDP因证书链不完整、域名不匹配、过期或根证书未信任所致，须结合网络连通性、服务状态、系统时间及日志综合诊断。
远程连接时提示“证书不受信任”，本质是客户端无法验证服务器身份，不是单纯“点继续就能用”的警告。它背后可能指向配置错误、环境变更或安全策略收紧，需分协议（SSH 与 RDP）针对性排查。
SSH 连接提示 “REMOTE HOST IDENTIFICATION HAS CHANGED” 或 “WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED”
这不是证书问题，而是 SSH 的主机密钥验证机制在起作用——客户端发现当前收到的服务器公钥和本地 ~/.ssh/known_hosts 中记录的不一致。
- 常见原因包括：服务器重装系统、更换 IP 后复用旧主机名、使用快照回滚导致密钥重置、或真的遭遇中间人攻击（较少见但不可忽略）
- 先确认是否为预期变更：登录服务器执行 ssh-keygen -l -f /etc/ssh/ssh_host_ecdsa_key.pub 查看当前密钥指纹，再与报错中显示的指纹比对
- 若确认是合法变更，可手动清理旧记录：ssh-keygen -R [hostname或IP]，或直接编辑 ~/.ssh/known_hosts 删除对应行
- 切勿直接删 entire known_hosts，尤其在管理多台服务器时；也不建议长期设置 StrictHostKeyChecking=no，这会关闭安全验证
RDP 连接弹出“你的连接不是私密连接”或“证书名称无效”类提示
Windows 远程桌面依赖 TLS 加密通道，其证书由服务器提供。提示“不受信任”，通常说明证书链不完整、域名不匹配、已过期，或根证书未被客户端信任。
- 检查证书绑定：在服务器上打开 Remote Desktop Session Host 配置（tsconfig.msc），确认“SSL 证书”已正确指定，且证书的 Subject Alternative Name (SAN) 包含你实际访问的 IP 或域名
- 验证证书有效性：双击证书 → “详细信息”页查看有效期、“增强型密钥用法”是否含“服务器身份验证”、“证书路径”是否完整可信（无红色叉）
- 若用自签名证书：需将该证书的根 CA 导出为 .cer 文件，在客户端电脑的“受信任的根证书颁发机构”中手动安装；仅导入到“个人”存储无效
- 云服务器（如 Azure/AWS）常见问题：公网 IP 变更后，DNS 名称未同步更新证书 SAN；或使用默认自签名证书但未做信任配置
通用前置检查：别让基础问题掩盖证书问题
很多“证书不受信任”其实是假象——真正卡在更底层。务必先确认：
- 能否 ping 通服务器 IP？不能 → 检查网络、路由、安全组（云平台需放行 TCP 22 或 3389）
- 能否 telnet [IP] [端口]？不能 → 服务未运行（Linux 查 systemctl status sshd，Windows 查“远程桌面服务”是否启动，注册表项 fDenyTSConnections=0）
- 是否用了跳板机或代理？中间节点证书也可能触发警告，需一并检查其信任状态
- 时间是否严重偏差？证书校验依赖系统时间，误差超 5 分钟可能导致“已过期”误判（Linux 用 timedatectl status，Windows 检查“日期和时间”设置）
进阶线索：从日志里找真实原因
界面提示常模糊，日志才说真话：
- Linux SSH：查看 /var/log/auth.log 或 journalctl -u sshd -n 50，搜索 key_exchange、no matching key exchange method 等关键词
- Windows RDP：打开“事件查看器” → Windows 日志 → System，筛选来源为 TermDD 或 RemoteDesktopServices-RdpCoreTS 的错误事件；也可启用 RDP 诊断日志（通过组策略：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全 → “记录安全层连接事件”）
