手动安装的SSL/TLS中间CA证书是否会被覆盖？SUSE 11证书丢失咨询

我之前维护SUSE 11服务器时也踩过这个坑——手动添加的CA证书在系统自动更新后凭空消失，导致一堆客户端TLS连接失败，太头疼了！结合你的情况，梳理下问题根源和靠谱的解决办法：

为什么证书会消失？ #

SUSE 11的/etc/ssl/certs目录由ca-certificates系统包管理，每次这个包更新时，系统会用官方默认证书重新覆盖目录内容。你手动添加的根CA和中间CA不在官方软件仓库的证书集合里，所以更新后自然被清掉了。另外你提到的证书哈希操作（c_rehash）也很关键，就算证书没丢，没做哈希的话，TLS客户端也找不到对应的CA来验证证书。

一步一步解决问题 #

1. 给自定义CA找个“安全窝” #

别直接把证书扔/etc/ssl/certs了，先建个专门的自定义证书目录：

mkdir -p /etc/ssl/local_certs

把你的根CA证书（比如my_root_ca.pem）和中间CA证书（my_intermediate_ca.pem）复制到这个目录，权限设为644保证系统能读取：

chmod 644 /etc/ssl/local_certs/*.pem

2. 链接到系统信任目录 #

用软链接把自定义证书挂到/etc/ssl/certs下，这样既不会被系统更新覆盖，又能被TLS服务识别：

ln -s /etc/ssl/local_certs/my_root_ca.pem /etc/ssl/certs/
ln -s /etc/ssl/local_certs/my_intermediate_ca.pem /etc/ssl/certs/

3. 必须执行的证书哈希操作 #

运行c_rehash生成证书的哈希值链接，这是让TLS客户端快速定位CA证书的核心步骤：

c_rehash /etc/ssl/certs

如果提示找不到c_rehash，就用完整路径执行：

/usr/bin/c_rehash /etc/ssl/certs

执行后你会看到/etc/ssl/certs里多了一堆类似xxxx.0的文件，这些就是哈希链接。

4. 防止后续更新再出问题（可选） #

如果不想每次系统更新都重来一遍，可以锁定ca-certificates包，阻止它被更新：

zypper locks add ca-certificates

不过要注意，这样会错过官方发布的根证书更新，需要自己权衡安全性和运维成本。

验证配置是否生效 #

用openssl测试TLS连接，确认证书验证正常：

openssl s_client -connect your_target_server:443 -CApath /etc/ssl/certs

如果输出末尾出现Verify return code: 0 (ok)，就说明配置没问题了。

内容的提问来源于stack exchange，提问作者MarkHelms