PyCharm连接GCP实例的SSH隧道重启后报SSL证书验证失败如何处理

你遇到的SSL: CERTIFICATE_VERIFY_FAILED错误本质是gcloud客户端在和IAP服务建立SSL连接时，无法验证服务器返回的证书的信任链，属于本地证书信任体系出问题，和SSH服务本身无关，ssh返回码255是上层隧道建立失败传导的错误。
具体触发原因通常有以下几类：

• gcloud SDK版本过旧，内置的根证书规则不兼容Google服务当前的证书链
• gcloud配置的自定义根证书文件损坏/过期，或者系统根证书存储更新后未同步
• 网络中存在SSL中间人代理（比如公司内网网关、防火墙代理），替换了Google服务的证书，本地未导入代理的根证书
• gcloud依赖的Python运行时的根证书库损坏（部分环境下gcloud会调用独立的Python环境，证书库和系统不共用）

• 第一步：升级gcloud SDK到最新版本，执行命令：

  gcloud components update
  

  升级完成后重启终端，重试建立隧道，约60%的同类问题可通过该步骤解决。
• 第二步：重置gcloud的证书配置，清空自定义证书规则，让gcloud调用系统默认根证书链：

  gcloud config unset core/custom_ca_certs_file
  

  如果你是Linux系统，同步更新系统根证书存储：

  # Debian/Ubuntu 系
  sudo update-ca-certificates
  # RHEL/CentOS 系
  sudo update-ca-trust extract
  

• 第三步：排查网络代理影响
  如果你当前网络配置了HTTPS代理，确认代理是否开启了SSL劫持，可选操作：
  1. 临时关闭代理后重试连接，如果连接成功则需将代理的根证书导入gcloud：

     gcloud config set core/custom_ca_certs_file /path/to/your/proxy/root/ca.crt
     

  2. 如果你确认网络中无代理，可测试临时跳过SSL验证确认问题根因（仅测试使用，不建议长期开启，存在安全风险）：

     gcloud compute ssh 你的实例名称 --zone 实例所在可用区 --iap-tunnel-disable-ssl-validation
     

     如果执行该命令可以正常连接，可100%确认是本地证书信任链问题，回到前两个步骤修复即可。

内容的提问来源于stack exchange，提问作者Jacob Wright