Tomcat配置SSL证书后外网访问出现不信任问题如何排查

以下是该故障的常见触发原因：

• 证书链导入不完整：你执行keytool -import导入p7b格式证书时，虽然加了-trustcacerts参数，但JKS密钥库可能仅存储了终端实体证书，未附带完整的中间CA证书链。内网机器通常因域策略提前内置了对应中间根证书所以访问正常，外网用户本地无对应中间证书时就会触发不信任报错。可执行keytool -list -v -keystore D:\OpenText\keystore\server_company_com.jks检查密钥库中的证书链长度，确认是否包含根、中间、终端三级完整证书。
• Tomcat SSL连接器配置错误：你仅提到修改了web.xml配置，未检查server.xml中的SSL连接器配置：如果连接器未指定keyAlias参数指向你的通配符证书别名，就可能误返回Tomcat默认的自签名证书；如果部署了多虚拟主机未开启SNI支持，也可能返回其他域名的证书导致不匹配。
• 公网链路存在SSL代理/劫持：如果你的公网域名解析指向了WAF、CDN节点，或是公网链路存在ISP透明SSL代理，外网用户实际拿到的是节点/代理的证书，而非你部署在Tomcat上的证书，自然会出现不匹配问题。可在外网环境执行openssl s_client -connect dns.domain.com:443 -servername dns.domain.com，查看返回的证书指纹和你Tomcat上配置的证书指纹是否一致。
• 证书已被吊销：内网环境通常无法访问CA的CRL吊销列表或OCSP校验服务，会默认跳过吊销校验，而外网环境可正常访问校验地址，如果你的证书已经被CA吊销，外网访问时就会触发不信任报错。
• 密钥库权限或密码不匹配：如果Tomcat运行账号没有JKS文件的读取权限，或是配置的keystore密码、证书私钥密码不匹配，部分版本的Tomcat会 fallback 到内置的自签名证书，导致外网访问返回不受信任的证书。

内容的提问来源于stack exchange，提问作者eshaa