第2章 密钥同步故障的典型表现
密钥同步一旦出问题，最直接的感觉就是——网络不通了，服务连不上。说白了，对方不认你手里的密钥。我在排故时发现，故障的外在表现其实就那么几类：连接拒绝、认证超时、证书错误。
为什么要把它们分开讲？因为你看到不同的日志关键字，对应的排查方向完全不同。搞混了，可能绕一整天弯路。嗯，下面逐个拆开聊。
连接拒绝（Connection refused）
这是最干脆的一种失败。客户端发起连接请求，服务端直接说“不，我不接受”。日志里通常会蹦出类似 connect ECONNREFUSED xxx.xxx.xxx.xxx:8443 这样的行。
我遇到过最典型的场景：新部署的密钥同步服务，两边配置好，一跑就报连接拒绝。查了一圈才发现目标端口在防火墙上根本没开。你想想看，服务端进程根本没监听那个端口，当然就拒绝了。
常见的根因就几个：
- 端口/协议不匹配——服务端监听在 8443，客户端连的是 443。
- 防火墙/NAT 拦截——安全组规则没放行，或者 iptables/ufw 把包丢了。
- 服务端进程未启动/崩溃——认证服务挂了，端口自然没人听。
- 网络隔离——容器、VM 或 Kubernetes 网络策略限制了跨命名空间通信。
排查技巧：在客户端用
telnet <目标IP> <端口> 或 nc -zv <目标IP> <端口> 快速验证。如果返回 "Connection refused"，说明服务端根本没监听或路径上有设备在拒绝。
认证超时（Authentication timeout）
连接能建立，但认证过程迟迟没有完成，最终超时断开。日志里常见 SSL/TLS handshake timeout 或 Authentication timed out after 30 seconds 之类。
我记得有一次，客户报“密钥同步偶尔失败”，翻日志是随机性的认证超时。最后定位到是网络链路上某个交换机间歇性丢包。握手阶段恰好需要来回交换好几个消息，丢一个包就得重传，反复几次就超时了。
哪些情况容易触发超时？
- 网络延迟和丢包——跨地域同步，RTT 超过 200ms 且丢包率 > 1%，握手很容易超时。
- 密钥协商计算量过大——比如用了 4096 位的 RSA 证书，又没有硬件加速，服务端 CPU 满载就没法及时响应。
- 并发握手积压——瞬间大量同步请求，服务端的握手队列满了，新的请求只能排队等。
- 代理/负载均衡转发超时——中间代理的 timeout 设得比客户端还短，代理先断了连接。
避坑：我曾经在配置里给
ssl_handshake_timeout 设成 60 秒，觉得越大越安全。结果客户端排队严重，服务端内存暴涨。超时时间不是越大越好——要结合网络 RTT 和密钥计算耗时来设，一般 10~30 秒就够了。
证书错误（Certificate error）
这个类别下的日志花样最多。连接能建立，握手能开始，但证书验证环节出了幺蛾子。常见的错误消息：
| 日志关键字 | 含义 | 常见原因 |
|---|---|---|
certificate expired |
证书已过期 | 忘记在到期前续签，且没有自动续期机制 |
certificate not yet valid |
证书还未生效 | 服务器时间超前，或者证书的 notBefore 设在未来 |
self-signed certificate |
自签名证书不被信任 | 客户端没有把自签 CA 证书导入信任库 |
hostname mismatch |
证书中的 CN/SAN 与连接域名不匹配 | 证书签发时用了 *.example.com，但客户端连的是 prod.example.org |
unable to get local issuer certificate |
找不到中间 CA 证书链 | 服务端没把完整的证书链发给客户端 |
证书错误有个特点：大多数情况下日志里会直接告诉你“为什么验证失败”。不像超时那样模糊。
实战经验：用
openssl s_client -connect <目标>:<端口> -showcerts 一把就能看到服务端发来的证书链，还能看到过期时间和验证结果。这是我最常用的调试命令。
三类表现如何快速区分？
拿到日志后，第一步不是分析原因，而是先分类。我自己的习惯：
- 看到 refused / ECONNREFUSED → 连接拒绝类。
- 看到 timeout / timed out / handshake timeout → 认证超时类。
- 看到 certificate / X.509 / SSL certificate → 证书错误类。
分好类，再对应到上面的根因列表去查。大部分问题都能在半小时内定位。
小技巧：有些系统会把错误分层记录——底层网络错误在 syslog，TLS 错误在应用日志。记得两边都看。比如，连接拒绝可能在 syslog 里看到，但应用日志只说“同步失败”。跨日志关联经常能省下大量猜谜时间。