Docker环境下NGINX代理配置SSL后无法正常建立HTTPS连接问题求助

• 检查容器端口映射配置：确认启动NGINX容器时，是否同时映射了TCP 443端口，启动命令需包含-p 443:443参数，仅映射80端口会导致HTTPS请求直接被拒绝，返回SSL_ERROR_SYSCALL错误。
• 验证证书挂载有效性与权限：
  • 进入容器执行ls /etc/certs/确认fullchain1.pem、privkey1.pem存在且不是空文件
  • 检查证书文件权限，需保证容器内的nginx用户拥有读取权限，可临时调整权限测试chmod 644 /etc/certs/*.pem，如果是用docker volume绑定挂载，还要确认宿主机上的证书文件对容器启动用户开放读权限
• 排查容器内域名解析规则：
  • 进入NGINX容器执行cat /etc/hosts确认lafton.io是否正确映射到容器本地127.0.0.1，若未配置，可在docker run命令中添加--add-host lafton.io:127.0.0.1参数手动绑定
  • 宿主机测试时如果使用localhost访问，由于你的证书颁发对象是lafton.io，不包含localhost，所以会出现证书不匹配错误，属于正常现象，宿主机测试需先在本地hosts添加127.0.0.1 lafton.io记录，再通过curl https://lafton.io测试
• 验证NGINX配置合法性：
  • 进入容器执行nginx -t检查配置是否有语法错误，若有报错根据提示修正后执行nginx -s reload重载配置
  • 查看NGINX错误日志定位具体问题：执行cat /var/log/nginx/error.log，如果有证书读取失败、端口绑定失败类报错，对应排查即可
• 排查宿主机安全模块限制：
  若使用RHEL/CentOS系列系统，可临时关闭SELinux测试setenforce 0，如果故障解决，说明是SELinux规则限制了容器读取证书文件，需给证书文件添加容器可读的安全上下文。

补充说明：你在容器内用localhost请求报证书不匹配属于预期行为，你的SSL证书仅绑定了lafton.io域名，未包含localhost主体，只要通过lafton.io域名访问时证书验证正常即可。

内容的提问来源于stack exchange，提问作者Terje Lafton