谷歌云SSL证书更新后GlobalSign R2根证书设备连接故障解决方案问询

一、后端配置调整可直接恢复连接 #

可以通过后端配置修复连接，不需要对离线设备做任何操作。
问题根源是谷歌更新证书后，服务端默认返回的SSL证书链锚定到了GlobalSign R3或其他设备不信任的新根CA，而你的设备只内置了GlobalSign R2作为信任锚。只需要调整服务端返回的证书链，换成交叉签名锚定到R2根的版本，设备就能正常完成证书校验。

二、包含R2根的证书链获取方式 #

• 谷歌托管SSL证书本身支持切换证书链路径：你可以在谷歌云证书管理后台的对应证书详情页，找到「证书链优先级」配置项，手动选择优先使用交叉签名到GlobalSign R2的旧链，保存后自动生效。
• 如果使用其他第三方证书，可自行拼接合法链：从GlobalSign官方获取R2根对应的交叉签名中间证书，将你的域名证书、交叉签名中间证书按顺序拼接成完整证书链文件，部署到后端即可，注意不要把R2根证书本身放进链文件，设备本地已经内置，额外添加反而可能引发校验异常。

三、其他可行临时方案 #

• 调整反向代理/负载均衡的证书配置：所有主流服务端组件（Nginx、Apache、Caddy、各云厂商LB）都支持自定义证书链，以Nginx为例，只需要把拼接好的R2链证书文件配置到ssl_certificate字段，重载配置即可生效，不需要重启服务，设备重新发起TLS握手就能正常连接。
• 临时替换第三方DV证书：如果当前谷歌托管证书无法快速切换R2链，可以临时申请其他主流CA签发的、支持交叉签名到GlobalSign R2的DV证书，这类证书目前仍可正常申请，有效期完全覆盖你推送设备更新的时间窗口。

注意：所有临时方案的使用时间不要超过GlobalSign R2根证书的到期时间，设备恢复连接后第一时间推送新的根信任锚更新，完成后即可切换回新的标准证书链。

内容的提问来源于stack exchange，提问作者Itworky