Ubuntu服务器Nginx转发至AWS Elastic Beanstalk环境时周期性出现SSL握手验证问题

这种周期性的SSL握手问题我之前帮朋友排查过类似的，结合你说的情况——证书链没问题、reload Nginx就秒好、大概两周发作一次，大概率和Nginx的上游SSL缓存或者AWS那边的负载均衡器变动有关，下面给你拆解可能的原因和实操的排查/解决方向：

• Nginx上游SSL缓存的“过期”问题
  Nginx第一次连接你的EB负载均衡器时，会抓取并缓存它的SSL证书链和会话信息，默认情况下这些缓存会保留一段时间。如果AWS那边的负载均衡器（EB默认用ALB）因为某种原因轮换了证书（比如ACM自动更新证书，或者LB的后端实例滚动刷新），Nginx没主动去刷新本地的缓存，就会拿着旧的缓存信息去验证新证书，自然就报“无法验证第一个证书”的错误。而reload Nginx会强制清空这些缓存，重新抓取最新的证书链，问题也就暂时解决了。
  你可以先试试在Nginx的上游代理配置里临时关闭SSL会话复用，看看问题会不会消失：在对应的location块里加一行proxy_ssl_session_reuse off;。不过这个设置会让每次请求都重新握手，可能稍微影响性能，但能帮你快速确认是不是缓存的锅。

• AWS EB环境的隐性变动
  虽然你确认EB的证书链是完整的，但AWS的ALB有时候会因为自动维护（比如实例替换、证书静默更新）导致证书链的传递出现临时的不匹配？你可以去AWS控制台的CloudTrail里查一下，问题出现的时间点附近，EB或者ALB有没有相关的配置变更记录，比如证书更新、实例启动/停止的日志，看看能不能和问题发作时间对应上。

• 实操排查和长期解决思路

  • 开启Nginx详细SSL日志抓问题：在代理EB的server或location块里加上这些配置，下次问题出现时就能拿到更具体的错误细节，方便定位根因：

    proxy_ssl_verify on;
    proxy_ssl_verify_depth 3;
    proxy_ssl_trusted_certificate /etc/ssl/certs/ca-certificates.crt;
    error_log /var/log/nginx/eb_ssl_error.log debug;
    

  • 给Nginx加定期reload的Cron任务：既然reload能解决问题，不如主动提前刷新缓存，比如每周一凌晨2点执行一次，这样在两周的周期前就清空缓存了，用户完全感知不到问题。执行crontab -e，添加一行：

    0 2 * * 1 systemctl reload nginx
    

  • 升级Nginx到稳定版：如果你的Nginx版本比较老（比如1.16及以前），可能存在上游证书缓存的bug，升级到1.24+的稳定版说不定能直接解决问题。
  • 确保Nginx用对根证书：配置proxy_ssl_trusted_certificate指向系统默认的根证书包/etc/ssl/certs/ca-certificates.crt，这个包里包含了所有主流信任根CA，能正确验证AWS的证书链。

备注：内容来源于stack exchange，提问作者user2319914