浏览器显示“TLS 错误”时，不一定是“网站没有 HTTPS”。可能是访问了错误端口、证书不包含当前域名、中间证书没发完整、系统时间错误，或者反向代理把请求交给了错误站点。最有效的方法是把 DNS、TCP、TLS、HTTP 四层分开。
一、先写清访问目标
标准 HTTPS 默认使用 TCP 443，所以 https://example.com/ 不写端口也会连接 443。若路由器把公网 4430 映射到内网 443，外部地址就是：
https://example.com:4430/多开一个内部端口不会让浏览器自动猜到公网 4430。若希望用户只输入域名，应有可达的标准 80/443 入口，或通过另一台公网服务器接收标准端口后反向代理。
二、按四层测试
dig example.com A
nc -vz example.com 443
curl -Iv https://example.com/
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null在 Windows PowerShell 可用：
Resolve-DnsName example.com
Test-NetConnection example.com -Port 443
curl.exe -Iv https://example.com/DNS 错误先修记录；TCP 超时检查运营商、路由、防火墙、端口映射和服务监听；只有 TCP 成功后，证书诊断才有意义。HTTP 的 301/302 跳转循环、404 或 502 则发生在 TLS 握手之后。
三、证书要检查四件事
- 域名：证书的 SAN（Subject Alternative Name）必须包含当前访问名称，通配符
*.example.com通常不覆盖更深一级a.b.example.com。 - 有效期：客户端时间必须正确，证书也必须处于有效期内。NTP 异常会让正常证书看起来“尚未生效”或“已经过期”。
- 信任链：服务器一般要发送站点证书和所需中间证书，常见配置使用
fullchain.pem，不是只发单张站点证书。 - 私钥匹配：加载的私钥必须属于该证书；续期后还要让服务重新加载新文件。
不要用关闭证书验证作为修复。curl -k 只适合临时确认“跳过验证后应用是否响应”，它隐藏了中间人攻击和配置错误，不能写进正式脚本。
四、SNI 与多站点
多个 HTTPS 站点共用一个 IP 时，客户端会在握手中通过 SNI 提供目标域名，服务器据此选择证书。测试 IP 而不带域名，可能得到默认证书：
openssl s_client -connect 203.0.113.10:443 -servername blog.example.com </dev/null
curl -Iv --resolve blog.example.com:443:203.0.113.10 https://blog.example.com/--resolve 能绕过当前 DNS，但仍保留正确 Host 和 SNI，适合证书切换前测试。203.0.113.0/24 是文档示例网段，不要替换成陌生真实服务器测试。
五、续期与部署后的验证
ACME 客户端签发成功不等于所有服务都已使用新证书。Nginx、宝塔面板、ESXi 或路由器可能各自保存副本，需要明确同步和重载流程。检查实际对外证书：
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null |
openssl x509 -noout -subject -issuer -dates -ext subjectAltName自动化至少要记录签发时间、复制目标、服务重载结果和外部握手验证。证书临近过期前提前续期，失败后缩短重试间隔并告警；不要等到最后一天才处理。
如果同一域名在内外网得到不同地址，要分别测试。内网成功、公网失败，重点看公网入口与 NAT；某个运营商成功而其他网络失败，还要检查 IPv6、DNS 分线路和运营商端口策略。
本文为中文原创学习整理。TLS 1.3 协议基础参考 IETF RFC 8446；证书链概念参考 Let’s Encrypt 官方 Chains of Trust。
评论一下？