nginx 更换 ssl 证书只有少部分用户生效的问题

[xwayway]

如题，今早网站证书过期了，进行了更换，换了后试过 nginx -s reload 和 kill -9 重启 nginx ，都只有少部分用户证书生效了，大多数用户证书未生效，还是老证书，已确认网站无 cdn 。请问这该如何继续排查问题

[JayZXu]

我猜是浏览器缓存或者运营商的缓存没刷新。

[xwayway]

@JayZXu 浏览器缓存是肯定刷新了的，朋友电脑第一次访问也没法访问。运营商的问题无从验证，也怀疑过这个问题，找了好几个网站检测都是旧证书，阿里云监测工具也是旧证书

[leoleoleo]

去看 nginx 日志呀，如果是过期证书，访问的时候 tls 握手可能会有报错日志吧，看看 nginx 的 error 日志和 access 日志，尤其是 error 日志，大概率能发现因为什么有问题，然后过一遍对应 conf 配置，看看是不是有不对的配置。

[xwayway]

好的

[xwayway]

@leoleoleo 不对啊，浏览器拦截了，根本没让请求过来

[leoleoleo]

@xwayway tls 握手的时候，不是 http 的请求，是建立连接的过程呀，如果没开始建连接，用户应该连你过的期证书都看不到才对。你先看日志吧，没有任何日志，靠猜来排障真的不太行。

[xwayway]

@leoleoleo 发现问题了，能正常访问的，都是使用公司网络的，公司网络和机房之间是有专线的，相当于内网。外部网络无法正常访问，说明证书未更新到外部网络。我也不太清楚我们运维做了啥骚操作，运维不是很专业的运维。

[rrfeng]

这情况，不管什么操作，都叫『劫持』。

[ffLoveJava]

@xwayway 然后呢 蹲一个解决方案

[qoo2019]

说明双层路由配置，配置了双层证书

[xwayway]

@ffLoveJava
@qoo2019
@leoleoleo
问题已解决，公司运维搞的深信服防火墙，防火墙上还搞了一道证书。网络方案可能是专线访问不经过防火墙。证书是我在阿里云买的免费证书，当初运维也找我要过，他也没说要来干嘛，我自己后来也忘了这回事了。不 ping 一下网络，发现延时很低，我可能想不到有专线，也猜不到是防火墙的原因，因为一直说的是公司宽带用的普通民用宽带。