局域网内访问服务器出现SSL浏览器警告的排查求助

以下是几种可能导致局域网机器访问出现证书警告的原因：

• 证书链顺序错误：你执行cat <public cert> <ca-bundle> > fullcert.crt生成证书文件时，若拼接顺序错误（比如先放CA证书包再放服务器公钥），会导致客户端无法正确构建信任链。本地Firefox可能因为之前访问过同CA签发的站点，缓存了中间证书所以能正常验证，但局域网其他机器没有相关缓存，就会触发警告。正确的拼接顺序应该是先服务器证书，再按层级从近到远依次拼接中间证书（ca-bundle内的证书需遵循服务器→中间CA→根CA的顺序）。

• 局域网机器系统时间异常：如果客户端系统时间与服务器时间偏差过大（超出SSL证书的有效期范围，比如证书还未生效或已过期），Firefox会判定证书无效并弹出警告。检查局域网机器的系统时间是否与服务器同步。

• 本地Firefox已手动信任证书：你本地访问正常可能是之前手动添加了证书例外、导入了该证书或对应的CA根证书，而局域网其他机器的Firefox没有做这个操作。即便你购买的是公开SSL证书，若该CA根证书不在客户端的默认信任列表中（比如小众CA），也会触发警告。

• Nginx配置路径符号错误：你给出的配置里用了Windows风格的反斜杠\，但Linux系统下Nginx的路径应该用正斜杠/。虽然你提到nginx -t测试正常，但如果实际配置确实用了反斜杠，可能导致Nginx加载证书不完整，只是本地环境刚好兼容，这个可能性较低，但可以检查配置文件的实际路径写法。

无需更换Apache，优先排查以上几点，尤其是证书链顺序和客户端时间问题。

内容的提问来源于stack exchange，提问作者Kin Ben