Ubuntu Pro令牌绑定失败的SSL证书验证问题求助

DevOps 小满

2026-4-21

你好，我仔细看了你的问题描述：在Ubuntu 20.04.6 LTS虚拟机上绑定Ubuntu Pro免费订阅时，遇到了非常矛盾的SSL证书验证问题——curl能正常通过证书验证访问contracts.canonical.com，但pro attach（无论带不带令牌）和ua status都提示证书验证失败，而且你已经确认系统CA证书、ISRG Root X1都配置正确，更新证书也提示无重复项。

针对这个情况，给你几个针对性的排查和解决方向：

手动指定CA证书路径运行pro命令
有时候ubuntu-pro-client可能没有正确读取系统默认的CA证书存储，试试强制指定CA证书文件路径来运行命令：

# 带令牌的情况
sudo SSL_CERT_FILE=/etc/ssl/certs/ca-certificates.crt pro attach <你的令牌>
# 不带令牌生成验证码的情况
sudo SSL_CERT_FILE=/etc/ssl/certs/ca-certificates.crt pro attach

更新ubuntu-pro-client到最新版本
旧版本的pro客户端可能存在SSL验证逻辑的bug，先更新客户端再重试：
```
sudo apt update && sudo apt install --only-upgrade ubuntu-pro-client
```
更新完成后，再尝试执行pro attach命令。
修复Python SSL环境
错误日志来自Python的_ssl.c，说明pro客户端依赖的Python SSL环境可能有问题：
1. 先验证Python是否能正常通过SSL访问目标地址，创建一个临时脚本test_ssl.py：
```
import ssl
import urllib.request
try:
    response = urllib.request.urlopen('https://contracts.canonical.com')
    print("Python SSL验证成功")
except ssl.SSLError as e:
    print(f"Python SSL错误: {e}")
```
  运行脚本：python3 test_ssl.py
2. 如果验证失败，重新安装Python SSL相关包：
```
sudo apt reinstall python3-openssl python3-certifi
```
排查代理/防火墙的隐性拦截
虽然你确认网络正常，但部分代理或防火墙可能会在SSL握手环节做中间人拦截，导致证书验证失败：
1. 检查当前系统的代理环境变量：
```
echo $http_proxy $https_proxy
```
2. 如果有代理设置，尝试临时取消代理后重试：
```
sudo env -u http_proxy -u https_proxy pro attach <你的令牌>
```