AWS Load Balancer错误分配SSL certificate问题咨询

常见触发原因 #

• 监听器配置或SNI匹配逻辑问题：ALB、NLB的HTTPS监听器支持挂载多份证书，SNI机制会自动匹配和请求域名契合度最高的证书返回。如果配置staging证书后未成功保存、监听器内误挂载了生产证书且生产证书的域名覆盖了当前访问的staging子域，请求就会返回生产证书。如果使用经典负载均衡器（CLB），未开启SNI功能时所有HTTPS请求只会返回监听器设置的默认证书，额外挂载的其他证书不会生效。
• DNS解析指向错误：staging子域名的解析记录配置错误、或者本地/运营商DNS缓存未更新，实际请求被发送到了生产环境的Load Balancer，自然返回生产环境的证书。
• 前置代理层配置异常：如果Load Balancer前部署了CDN、WAF、API网关等入口组件，请求实际先到达代理层，代理层如果配置了生产证书，会直接返回代理侧的证书，不会走到Load Balancer的证书匹配逻辑。
• 证书本身配置问题：staging证书的SAN（主体备用名称）列表未包含当前访问的staging子域名、证书和Load Balancer不在同一AWS区域、证书状态异常（过期、验证失败），导致监听器无法正常加载staging证书，回退到其他可用证书。

排查步骤 #

1. 先验证解析链路正确性
   本地执行命令确认域名解析结果：

   # 替换为实际访问的staging子域名
   nslookup staging.example.com
   dig staging.example.com
   

   核对返回的IP/别名地址，和你新建的staging Load Balancer的官方DNS名称做比对，确认请求没有被指向生产LB。
   再执行带verbose参数的curl命令查看实际返回的证书信息：

   curl -v https://staging.example.com
   

   从输出里提取证书的序列号、绑定域名、颁发者信息，确认返回的确实是生产证书，排除浏览器缓存证书的误报。

2. 核对Load Balancer监听器配置
   进入AWS控制台对应Load Balancer的详情页，打开HTTPS 443监听器的配置页：

   • 首先确认默认证书是否选中了正确的staging证书
   • 检查附加证书列表，确认没有误添加生产环境证书
   • 如果使用CLB，确认SNI功能是否开启
     注意：ALB/NLB的证书是挂载在监听器层面的，和转发规则、目标组绑定无关，不要在目标组配置里找证书设置。

3. 直连Load Balancer排除前置代理影响
   跳过所有前置代理层，直接给Load Balancer的默认域名发请求，带上正确的Host头模拟真实访问：

   # 替换为staging LB的默认DNS名称、实际访问的staging子域名
   curl -vk https://staging-lb-123456.elb.amazonaws.com -H "Host: staging.example.com"
   

   如果直连LB返回的是正确的staging证书，说明问题出在前置的CDN/WAF层，和LB配置无关；如果直连还是返回生产证书，问题就在LB本身的配置。

4. 核对staging证书本身有效性
   进入AWS Certificate Manager（ACM）控制台，找到对应的staging证书：

   • 确认证书所在区域和LB部署区域一致，跨区域证书无法被LB正常加载
   • 确认证书状态为「已签发」，没有过期、域名验证失败的问题
   • 确认证书的域名列表里包含所有你要访问的staging子域名，没有漏配

修复方案 #

• 监听器配置问题：将staging证书设置为监听器默认证书，删除监听器内误挂载的生产证书；如果使用CLB，开启SNI功能，或者为staging环境单独部署独立的CLB，避免和生产证书混挂。
• DNS解析问题：修正staging子域名的A记录/别名记录，正确指向staging LB，等待本地/运营商DNS的TTL过期后，清除本地DNS缓存再验证。
• 前置代理问题：在CDN/WAF等入口层，将对应staging域名的证书替换为正确的staging证书，核对转发规则确认请求被正确转发到staging LB。
• 证书本身问题：如果staging证书漏配域名、状态异常，重新在ACM对应区域申请包含所有staging域名的证书，完成域名验证后重新绑定到LB监听器。

内容的提问来源于stack exchange，提问作者Tomás Garcia