4. 入口层故障排查（三）：TLS/SSL证书问题

在IDP自助门户的入口层，TLS/SSL证书是保障通信安全的第一道防线。证书过期、链不完整、SNI不匹配或双向认证失败，都会直接导致用户无法访问门户或API调用中断。本节将系统梳理这四类典型故障，并演示如何使用openssl s_client进行精准诊断。

4.1 四类证书故障速查表

4.2 诊断利器：openssl s_client 核心用法

openssl s_client是排查TLS问题的瑞士军刀。以下命令覆盖了四类故障的诊断场景：

# 1. 基础连接与证书链查看
openssl s_client -connect idp.example.com:443 -showcerts

# 2. 指定SNI（Server Name Indication）
openssl s_client -connect 10.0.1.50:443 -servername idp.example.com -showcerts

# 3. 双向认证（mTLS）测试
openssl s_client -connect idp.example.com:443 \
  -cert /path/to/client.crt \
  -key /path/to/client.key \
  -CAfile /path/to/ca-chain.crt

# 4. 仅验证证书链，不发送数据
openssl s_client -connect idp.example.com:443 -verify_return_error -brief

4.3 故障一：证书过期

证书过期是最常见的TLS故障。通过openssl s_client可以快速获取证书有效期：

openssl s_client -connect idp.example.com:443 2>/dev/null | \
  openssl x509 -noout -dates

# 输出示例：
# notBefore=Jan  1 00:00:00 2024 GMT
# notAfter=Dec 31 23:59:59 2024 GMT

如果当前时间超出notAfter范围，则证书已过期。SRE应建立证书到期前30天、14天、7天的自动告警机制。

4.4 故障二：证书链不完整

服务器未发送中间证书会导致部分客户端验证失败。使用-showcerts参数查看服务器返回的证书链：

openssl s_client -connect idp.example.com:443 -showcerts 2>/dev/null

正常输出应包含至少2个证书块：

• 第1块：服务器证书（叶子证书）
• 第2块：中间CA证书
• 第3块（可选）：根CA证书（通常不发送）

4.5 故障三：SNI不匹配

当多个域名共用同一IP时，客户端必须发送SNI指示目标域名。如果SNI缺失或错误，服务器会返回默认证书，导致域名验证失败。

# 正确指定SNI
openssl s_client -connect 10.0.1.50:443 -servername idp.example.com

# 不指定SNI（可能返回默认证书）
openssl s_client -connect 10.0.1.50:443

对比两次输出的subject和subjectAltName，确认SNI正确时返回的证书是否包含目标域名。

4.6 故障四：双向认证（mTLS）失败

IDP门户在服务间调用或管理员接口中常使用mTLS。双向认证失败通常表现为客户端未发送证书或服务器拒绝客户端证书。

# 服务端日志常见错误
# 2025/01/15 10:23:45 [error] 1234#0: *567 client SSL certificate verify error: (2:unable to get issuer certificate)

# 使用openssl模拟客户端
openssl s_client -connect idp.example.com:443 \
  -cert client.pem \
  -key client-key.pem \
  -CAfile ca-chain.pem \
  -verify_return_error

诊断步骤：

1. 检查客户端证书：确认client.pem和client-key.pem匹配，且未过期。
2. 验证CA链：服务器配置的ssl_client_certificate必须包含签发客户端证书的CA。
3. 检查证书吊销：如果启用了OCSP或CRL，确认客户端证书未被吊销。

4.7 证书故障排查流程图

4.8 自动化巡检脚本示例

将诊断命令封装为脚本，可集成到SRE的监控系统中：

#!/bin/bash
# tls_health_check.sh - IDP门户TLS健康检查脚本

HOST="idp.example.com"
PORT="443"
SNI="idp.example.com"
WARN_DAYS=30

# 1. 检查证书过期
expiry_date=$(openssl s_client -connect ${HOST}:${PORT} -servername ${SNI} 2>/dev/null | \
  openssl x509 -noout -enddate | cut -d= -f2)
expiry_epoch=$(date -d "${expiry_date}" +%s)
current_epoch=$(date +%s)
days_left=$(( (expiry_epoch - current_epoch) / 86400 ))

if [ $days_left -lt 0 ]; then
  echo "CRITICAL: 证书已过期"
  exit 2
elif [ $days_left -lt ${WARN_DAYS} ]; then
  echo "WARNING: 证书将在 ${days_left} 天后过期"
  exit 1
fi

# 2. 检查证书链完整性
chain_count=$(openssl s_client -connect ${HOST}:${PORT} -servername ${SNI} -showcerts 2>/dev/null | \
  grep -c "BEGIN CERTIFICATE")
if [ $chain_count -lt 2 ]; then
  echo "ERROR: 证书链不完整，仅包含 ${chain_count} 个证书"
  exit 2
fi

echo "OK: TLS证书健康"
exit 0