企业级网站证书链高可用的核心是“链不中断、验不失败、切不降级”，需物理拼接域名证书与中间CA为fullchain.pem，主备节点文件严格一致，权限管控+自动化续期双校验。

企业级网站的证书链高可用，不是靠多配几份证书，而是靠“链不中断、验不失败、切不降级”。核心在于让浏览器每次握手都能完整拿到可信路径，且在主备切换、证书轮换、节点故障时仍保持链完整、验证通过、服务不告警。

证书链文件必须物理拼接为 fullchain.pem

阿里云或 Let’s Encrypt 下载的证书包里，不能只用 xxx.pem（仅域名证书）。它缺少中间 CA，浏览器无法上溯到根证书。正确做法是手动拼接：

• 把域名证书（如 example.com.pem）内容放在最前面
• 紧接着追加中间证书（ca-bundle.crt 或 intermediate.crt 中的内容）
• 保存为 fullchain.pem，供 Nginx 的 ssl_certificate 指向
• 私钥仍单独使用 example.com.key，由 ssl_certificate_key 指定

拼接后务必验证：
openssl verify -CAfile /etc/ssl/certs/ca-bundle.crt fullchain.pem
返回 OK 才表示链完整可信。

主备 Nginx 节点证书路径与内容必须严格一致

在 Keepalived 高可用架构中，VIP 漂移后请求会落到备节点。若两台机器的证书文件不一致（比如主节点用了新链、备节点还是旧链），切换瞬间就会触发 ERR_CERT_AUTHORITY_INVALID。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 所有证书文件（fullchain.pem、example.com.key）应通过 Ansible、rsync 或配置中心统一分发
• 禁止手工 scp 或本地编辑；更新必须走原子操作（如先传新文件，再原子替换软链接）
• 建议在部署脚本中加入校验步骤：比对两节点 md5sum fullchain.pem 和私钥 modulus 是否一致

避免证书路径暴露 + 权限失控引发的信任链污染

证书链虽为公钥内容，但若被攻击者获取，可辅助构造钓鱼站点或发起针对性中间人攻击。更危险的是：路径权限松散会导致证书被篡改。

• 证书存放目录（如 /etc/nginx/ssl/）权限设为 750，属主 root:nginx
• 证书文件权限为 644，私钥必须为 600；整条路径用 namei -l 检查无 world-writable 级别
• Nginx 配置中禁用对 .pem/.crt 的 location 匹配，防止通过 HTTP 直接下载
• 绝不把证书放在 /var/www、/usr/share/nginx/html 等 Web 可访问目录下

自动化续期 + 链完整性双校验机制

Let’s Encrypt 90天有效期或阿里云免费证书到期前7天未刷新，会导致链突然失效。高可用要求“续期即生效、失败即告警”。

• 使用 Certbot 时启用 --deploy-hook，在续期成功后自动拼接 fullchain 并 reload Nginx
• 自建脚本需同时校验：① 新证书域名匹配当前 server_name；② 新 fullchain.pem 能被系统 CA 库验证通过
• 关键检查命令放入 cron 每日执行，并将失败结果推送到钉钉/企微告警群