新SSL证书验证错误根因排查：调用Close API出现Faraday::SSLError

SSL错误问题排查方案 #

你遇到的Faraday::SSLError证书验证失败错误，即使同配置集群只有单台报错，证书存储库过期依然有可能是根本原因，除此以外还有多个可能的触发场景：

• 单台机器系统CA证书库异常：Ubuntu 14本身已停止维护，自带的根证书默认包含已过期的DST Root CA X3根证书，且缺失新版ISRG Root X1根证书。即使其他机器配置一致，也可能存在单台机器的CA证书自动更新任务未运行、历史手动修改过证书存储、证书更新后未执行生效命令的情况，导致只有该机器无法验证Close API的SSL证书。
• Ruby运行环境证书配置异常：Faraday请求可以单独配置自定义的证书路径，如果这台机器上的Ruby环境单独指定了过期的证书文件，就算系统证书库正常，也会单独触发SSL验证错误。
• 系统时间偏差过大：单台机器的本地时间和实际标准时间偏差过大，会导致系统误判证书已经过期。
• 网络代理劫持：该台机器如果配置了专属的内网代理，代理返回的SSL证书本身过期或者未被系统信任，也会触发该报错。

具体排查步骤 #

1. 先校验系统时间：执行date命令确认本地时间是否和标准时间一致，偏差超过5分钟先校准时间后重试请求。
2. 验证系统层面SSL连接是否正常：执行curl -v https://developer.close.com/看是否返回SSL错误，如果curl也报错则属于系统层面问题，curl正常则属于应用运行环境问题。
3. 系统层面问题修复：执行sudo update-ca-certificates更新系统证书库，若依然报错可以重新安装CA证书包：sudo apt-get install --reinstall ca-certificates。
4. 应用层面问题修复：检查Faraday的SSL配置项，确认是否手动指定了ca_path或ca_file参数，确认指向的证书文件是否为最新版本。

内容的提问来源于stack exchange，提问作者Daniel Littlewood